 TechNet Magazine August 2007

TechNet Magazine August 2007

System Center: A evolução do SMS: uma nova solução poderosa para gerenciar seus sistemas

O gerenciamento de sistemas está prestes a se tornar muito mais fácil. Faça um tour guiado pelo System Center Configuration Manager 2007 e veja como ele pode simplificar tarefas essenciais como a implantação de atualizações de software, o gerenciamento de dispositivos móveis e a manutenção de configurações de sistema.

John Orefice System Center: Implante aplicativos e atualizações em suas filiais

Os pontos de distribuição de filiais, um dos novos recursos do Configuration Manager 2007, podem parecer, à primeira vista, um acréscimo pouco relevante. Mas, se você analisar melhor a questão, descobrirá que oferecem novos recursos indispensáveis para gerenciar a distribuição de software para filiais.

Steve Rachui System Center: Introdução ao System Center Essentials 2007

Projetado especificamente para empresas médias, o System Center Essentials oferece uma solução unificada para monitoramento, gerenciamento e solução de problemas de sistemas. Este guia mostrará, em detalhes, a instalação e a configuração do Essentials 2007 para a sua rede.

David Mills System Center: Vigie seus servidores com o Operations Manager 2007

O Operations Manager 2007, a nova versão do MOM, apresenta alguns aperfeiçoamentos importantes, incluindo novas interfaces de gerenciamento, melhores relatórios, suporte para aplicativos da linha de negócios, novas opções de segurança e muito mais.

Pete Zerger System Center: Migrando do MOM para o Operations Manager 2007

Está pronto para a transição para o Operations Manager 2007? Devido a alterações de arquitetura, não existe um caminho simples de atualização in-loco a partir de uma versão anterior do MOM. Em vez disso, siga um dos planos de migração apresentados aqui.

Andy Dominey System Center: Virtualize seus aplicativos com o Microsoft SoftGrid

Os aplicativos virtualizados oferecem diversos benefícios, desde uma melhor experiência de usuário até a administração do sistema simplificada. Obtenha uma visão geral detalhada de como o Microsoft SoftGrid entrega aplicativos virtuais, se encaixa em sua infra-estrutura e pode economizar tempo e dinheiro.

Ahmer Sabri and Kedar Shah Do editor: Dinâmico e otimizado

Joshua Trupin Toolbox: Novos produtos para profissionais de TI

Greg Steen P&R do SQL: Localizando bloqueios, consultas grandes, estatísticas de E/S e muito mais

Edited by Nancy Michell Destaque de utilitário: BGInfo

Não seria ótimo se você pudesse saber tudo que precisa sobre um PC, como seu nome, endereço IP, gateway, espaço livre em disco etc., em um único lugar? E você pode, com esta ferramenta gratuita da Sysinternals.

Lance Whitney The Cable Guy: Configuração automática de IPv6 no Windows Vista

O IPv6 não se resume apenas a estender o espaço de endereço de 32 bits para 128 bits. Vejamos como os hosts IPv6 são capazes de se configurar automaticamente, mesmo sem o uso de um protocolo de configuração de endereço.

Joseph Davies Windows PowerShell: O poder da filtragem

O pipeline não serve somente para os cmdlets. Veja como você pode usar o pipeline do Windows PowerShell para adicionar recursos de filtragem convenientes aos seus scripts.

Don Jones Ei, Equipe de Scripts!: Quem é você?

Com o Active Directory, os usuários podem ter várias identidades, como givenName, displayName, userPrincipalName ou distinguishedName. Como um administrador de sistema obtém essas informações sobre um usuário? Com um script, é claro.

The Microsoft Scripting Guys Security Watch: Aprimoramentos na PKI do Windows

No Windows Vista e no Windows Server 2008, a plataforma de PKI do Windows oferece suporte a algoritmos avançados, verificação de validade em tempo real e melhor gerenciamento. Confira os novos recursos da PKI e veja como podem ser usados para reduzir custos, ao mesmo tempo em que aumentam a segurança.

John Morello Os arquivos da área de trabalho: Conhecendo o RDP

O protocolo RDP (Remote Desktop Protocol), que permite acessar computadores remotamente, é uma tecnologia útil que melhora a cada nova versão do Windows. Para obter uma visão geral do RDP, analise os diversos benefícios e limitações que ele tem a oferecer.

Wes Miller Anotações de campo: Entrevistas em mensagem instantânea

Você tem uma vaga a preencher e uma grande pilha de currículos do mundo inteiro. Como restringir rapidamente a sua pesquisa? A resposta pode ser a realização de entrevistas por meio de mensagem instantânea. Veja a história de sucesso de um desenvolvedor.

Nathan G. Jensen Segredos do Windows: O Windows Explorer não faz texto

Por que não é possível copiar uma lista de arquivos do Windows Explorer e colá-la como texto para obter os nomes dos arquivos? A equipe do Windows tentou incluir essa funcionalidade, mas não funcionou conforme planejado.

Raymond Chen


 System Center: A evolu&#231;&#227;o do SMS: uma nova solu&#231;&#227;o poderosa para gerenciar seus sistemas
System Center John Orefice

A evolução do SMS: uma nova solução poderosa para gerenciar seus sistemas
Visão geral:
  • Implantação do sistema operacional
  • Gerenciamento de atualizações de software
  • O gerenciamento de configuração desejado

O System Management Server (SMS) 2003 se tornou uma ferramenta muito importante de gerenciamento de configuração e de entrega de software para administradores do mundo todo. Agora, a Microsoft está se preparando
para apresentar uma nova versão de sua solução de gerenciamento empresarial, que traz novos recursos e um novo nome: System Center Configuration Manager 2007.
System Center é uma família de produtos Microsoft criados para trabalharem juntos e tornarem o gerenciamento diário da sua infra-estrutura complexa de TI mais fácil e econômico. As soluções System Center se baseiam em automação e em práticas recomendadas derivadas do MOF (Microsoft® Operations Framework) e da Information Technology Infrastructure Library (ITIL) e podem ser usadas em todos os níveis de uma organização.
O Configuration Manager 2007 é somente uma parte da família System Center. O System Center Data Protection Manager oferece backup e recuperação do sistema empresarial. O System Center Operations Manager oferece um sistema proativo de monitoramento e de automação. O System Center Capacity Planner pode ser usado para o planejamento de capacidade e para a análise de possibilidades das implantações de infra-estrutura. E a lista continua a crescer (dê uma olhada em www.microsoft.com/systemcenter para obter mais informações).
Neste artigo, guiarei você por vários dos novos e aprimorados recursos planejados para o Configuration Manager 2007 com base na versão beta mais recente. Oferecerei uma visão geral do que pode se esperar dessa versão empolgante e espero que eu o convença de que o Configuration Manager será capaz de economizar o tempo e o dinheiro da sua organização.

Nova interface do usuário administrativa
Desde o SMS 1.0, um dos recursos mais solicitados tem sido uma interface do usuário nova e aperfeiçoada. A Microsoft respondeu a essa solicitação fazendo várias melhorias na interface do usuário administrativa do System Center Configuration Manager 2007. Para habilitar esses novos recursos, o novo console do Configuration Manager 2007 foi criado com C# e o Microsoft .NET Framework e é executado sobre a tecnologia do Console de Gerenciamento Microsoft (MMC) 3.0. Além disso, assim como o SMS 2003, a interface do usuário pode ser estendida por um SDK para que os usuários do console possam criar seus próprios complementos, atendendo às suas necessidades individuais.
A Figura 1 mostra o novo console com o nó expandido do Gerenciamento de computador, exibindo todas as novas funções de gerenciamento disponíveis. Além disso, observe a nova aparência da seção Configuração de site SMS, que indica as tarefas comuns que devem ser concluídas antes que o Configuration Manager possa ser utilizado após a instalação. A seção Links e recursos contém tarefas relevantes que reduzem o tempo de navegação pelo console para funções comuns.
Figura 1 A interface de administração do Configuration Manager
Figura 1 A interface de administração do Configuration Manager
Algumas das vantagens e recursos habilitados por esse novo console são a seleção de vários itens e o arrastar e soltar (ótimo para o gerenciamento de coleções), as pastas de pesquisa para a organização de itens no console de forma virtual, em vez de física, o painel de ações para a execução de tarefas apropriadas na seção atual, a seção do painel de visualização, que resume informações sobre um determinado tópico, como a implantação de software, e uma estrutura organizacional aperfeiçoada e que simplifica muito a navegação.
Como observado, o painel de ações é um dos maiores avanços dessa console renovada. Ele oferece uma forma de exibir as ações contextualmente apropriadas para a seção do console utilizada no momento. Por exemplo, se você estiver exibindo a coleção Todos os sistemas, o painel de ações mostrará ações como Atualizar associação da coleção e Instalar agente (consulte a Figura 2).
Figura 2 As ações disponíveis estão especificadas no modo de exibição atual
Figura 2 As ações disponíveis estão especificadas no modo de exibição atual
Além disso, o Configuration Manager 2007 apresenta um novo conceito, chamado home pages, que permite revisar rapidamente o status de uma função específica, como atualizações de software, distribuição de software ou o gerenciamento de configuração desejado. Isso pode ser feito no console sem a execução de relatórios ou pesquisa de dados em qualquer outro local. Veja mais exemplos de home pages neste artigo, à medida que eu for apontando os diferentes recursos do produto.

Funções de servidor e pontos de distribuição
O Configuration Manager 2007 apresenta várias funções de servidor novas para habilitar alguns dos novos recursos que discutirei aqui. Entre elas, podemos destacar FSP (Fallback Status Point), PSP (PXE Service Point), DP (Ponto de distribuição da filial), SMP (State Migration Point), SUP (Software Update Point) e o SHV (System Health Validator). Assim como todas as funções de servidor do SMS e do Configuration Manager, essas funções poderão ser hospedadas no mesmo servidor, desde que os exercícios de planejamento de capacidade apropriados sejam executados.
O ponto de distribuição de filial é importante e difere do ponto de distribuição tradicional por dois motivos. Primeiro, ele não precisa ser instalado em um sistema operacional de servidor — pode ser instalado no Windows Vista® ou no Windows® XP. É a única função do Configuration Manager que pode ser instalada em um sistema operacional cliente. Isso é ótimo para uma filial sem um servidor local ou nos casos em que o departamento de TI deseja remover servidores de filiais menores para reduzir custos e a sobrecarga administrativa. Nos casos em que há somente máquinas com o Windows XP ou o Windows Vista, o ponto de distribuição de filial pode ser usado para reduzir o tráfego de WAN, garantindo que os clientes não receberão pacotes pela WAN quando eles estiverem disponíveis localmente.
O segundo motivo se refere à conectividade do ponto de distribuição de filial com outros pontos de distribuição. Os dados de replicação dos pontos de distribuição tradicionais não são transmitidos ou agendados a menos que estejam indo do site primário para o secundário. Por causa disso, muitas organizações só replicam pacotes para as filiais à noite, atrasando a distribuição de software até que esses pacotes sejam disponibilizados localmente.
O Ponto de distribuição de filial utiliza o BITS (Background Intelligent Transfer Services) para baixar as informações para outros pontos de distribuição. Isso é excepcional para a largura de banda de transmissão por meio de um link WAN entre uma filial e um ponto de distribuição do datacenter central, especialmente quando não há um site secundário do Configuration Manager localizado na filial. A Figura 3 mostra a caixa de diálogo Propriedades do ponto de distribuição usado para transformar um ponto de distribuição padrão em um ponto de distribuição de filial.
Figura 3 Configurando um ponto de distribuição de filial
Figura 3 Configurando um ponto de distribuição de filial
O SMS 2003 introduziu uma tecnologia que permitia a replicação delta de arquivos de pacotes de um servidor de site para um ponto de distribuição. Essa tecnologia funcionava bem para pacotes SMS compostos de vários arquivos menores. Se, por exemplo, um administrador do SMS precisasse fazer uma alteração em somente um dos arquivos, ou em vários arquivos menores de um pacote SMS maior, somente os arquivos alterados eram replicados, em vez de todo o pacote.
Como a implantação de sistema operacional se tornou mais importante no Configuration Manager 2007, será preciso garantir que a replicação de pacotes de imagens de sistema operacional e de outros pacotes grandes em sua infra-estrutura e por meio de links WAN aconteça da forma mais eficiente possível. Com esse objetivo em mente, o Configuration Manager 2007 apresenta a replicação delta binária de servidor de sites para servidor de sites, de servidores de sites para pontos de distribuição e de pontos de distribuição para pontos de distribuição de filial.
Por exemplo, vamos examinar uma nova imagem de implantação do Windows Vista com vários aplicativos pré-instalados. O pacote pode ter 6 GB e, como é uma imagem WIM (Windows Imaging Format), também é um arquivo de 6 GB único. Como descrito anteriormente, no SMS 2003, se a nova imagem WIM fosse aberta para a alteração de uma configuração ou para a adição de um patch de 2 MB recém-lançado, como a imagem era um único arquivo WIM, todo o pacote SMS de 6 GB teria de ser replicado para os pontos de distribuição. Em compensação, com a replicação delta binária do Configuration Manager 2007, se uma configuração mudar ou se um único patch for adicionado ao pacote de imagem WIM, somente esse patch de 2 MB ou essa configuração serão replicados pela infra-estrutura, em vez de todos os 6 GB.

Processos comuns para os dispositivos móveis
Um pouco antes do lançamento do SMS 2003, a Microsoft apresentou o DMFP (Device Management Feature Pack) para o gerenciamento de dispositivos móveis com Windows CE e Pocket PC. Como os dispositivos móveis são cada vez mais usados em organizações empresariais, a necessidade de gerenciá-los se tornou uma grande prioridade. Por causa dessa tendência, o Configuration Manager 2007 aperfeiçoou o DMFP do SMS 2003 e apresenta uma nova e incrível solução integrada para o gerenciamento de dispositivos móveis, incluindo os smartphones com Windows Mobile® e telefones com Pocket PC, semelhante ao gerenciamento de servidores, laptops e computadores desktop.
O gerenciamento básico de dispositivos móveis inclui inventário de hardware e de software, recursos de coleção de arquivos, distribuição de software e configurações para o gerenciamento de senhas e de diretivas de segurança. Usando o gerenciamento de clientes baseados na Internet do Configuration Manager 2007, agora todos os dispositivos podem ser gerenciados em sua intranet assim como pela Internet. Isso é ótimo para smartphones ou para outros dispositivos que raramente, ou nunca, são conectados à LAN corporativa.
O processo de implantação do agente também foi aperfeiçoado. Agora, as atualizações de clientes pelo ar são suportadas e a distribuição de clientes pode ser automatizada por meio do console do Configuration Manager.

Janelas de manutenção
Muitos dos clientes empresariais com que trabalho possuem janelas de manutenção predefinidas tanto para os servidores como para certos desktops de missão crítica. Além disso, com freqüência eles pedem sugestões sobre como implantar aplicativos maiores, como o 2007 Microsoft Office System, sem interromper o usuário final durante o horário comercial.
O Configuration Manager 2007 apresenta um novo recurso, as janelas de manutenção. Ele permite que você defina janelas de tempo em que instalações de uma determinada coleção poderão ocorrer. Isso dá a você a liberdade de tornar um anúncio obrigatório sem se preocupar com a repercussão da instalação do pacote no horário comercial normal ou em horários inconvenientes para os usuários.
Como exemplo, considere a implantação de um pacote do 2007 Office System. Você quer instalar esse aplicativo em todos os seus usuários finais da forma mais rápida possível, mas não deseja que essa instalação interfira no trabalho durante o dia. É possível definir a janela de manutenção para determinar o período de tempo em que você deseja que o sistema execute a instalação — talvez entre as 20h00 e as 6h00. Se, por qualquer motivo, o sistema não estiver disponível durante a janela de manutenção em um determinado dia, o Configuration Manager aguardará até a próxima hora definida na janela de manutenção para garantir que os negócios não sejam interrompidos de forma inesperada. Você também tem a opção de ignorar janelas de manutenção em nível de anúncio, permitindo a implantação de uma atualização crítica assim que possível, apesar de quaisquer restrições de possam existir.

Implantação do sistema operacional
A funcionalidade de implantação de sistema operacional é a maior área de enfoque do Configuration Manager 2007. A Microsoft criou o Configuration Manager como o principal meio de implantação do sistema operacional para as plataformas de servidor e de estação de trabalho. Os melhores recursos do SMS 2003 OSD (Operating System Deployment) Feature Pack foram integrados ao Configuration Manager 2007 fundamentalmente para alterar a forma como as implantações de sistema operacional são gerenciadas.
Como você deve saber, o Windows Vista introduziu um novo formato WIM para a implantação do sistema operacional. Existem diversas vantagens na utilização desse formato, começando pelo fato de que o Configuration Manager 2007 importa o formato de imagem WIM de forma nativa, para que os administradores possam trabalhar nas imagens e implantá-las diretamente do console.
Outro recurso de implantação importante do Configuration Manager é o Task Sequencer integrado. Se você já conhece o Microsoft Solution Accelerator para Business Desktop Deployment (BDD), encontrará muitas semelhanças com os recursos e opções disponíveis no Configuration Manager, mas com uma grande diferença: não é mais necessário escrever scripts para a implantação ou captura de imagens do sistema operacional. E, aproveitando o Task Sequencer, o processo de implantação do sistema operacional se torna completamente automático.
O Task Sequencer pode ajudar a criar todas as etapas que devem ser executadas durante a implantação do seu sistema operacional, incluindo aquelas executadas no sistema operacional antigo antes da implantação (a migração do estado do usuário e a transferência das configurações de aplicativos), as etapas de implantação do novo sistema operacional (formatação, particionamento de disco, chave do produto, nome de usuário, empresa, configurações de licenciamento, instalação de drivers) e as etapas necessárias após a implantação do novo sistema (instalação de aplicativos adicionais, instalação de atualizações e migração do estado do usuário). Como um exemplo dessa funcionalidade, a Figura 4 mostra o Task Sequence Editor realçando alguns dos recursos que podem ser aproveitados em uma implantação do Windows Vista.
Figura 4 Editando as etapas da implantação de um sistema operacional
Figura 4 Editando as etapas da implantação de um sistema operacional
Além do Task Sequencer, existem vários outros aprimoramentos feitos na implantação do sistema operacional no Configuration Manager 2007, como mostrado na Figura 5. Por exemplo, o Configuration Manager oferece suporte à implantação bare-metal com o PXE (Pre-Boot Execution Environment) para plataformas x86 e x64 com gerenciamento de driver de dispositivo. A opção de gerenciamento de driver de dispositivo permite que a sua organização reduza significativamente o número de imagens necessárias para os diferentes tipos de hardware. Combinado ao suporte a uma única imagem introduzido com o formato de imagem WIM do Windows Vista, é quase certo que você economizará tempo e dinheiro quando fizer implantações de sistema operacional.
Figure 5 Recursos de implantação do sistema operacional (Close Figure 5)

Cenário | SMS 2003 | Configuration Manager 2007
Implantação ponta a ponta | Sim | Sim
Totalmente automatizado | Sim | Sim
Atualização do tipo limpar e carregar | Sim | Sim
Implantação bare-metal com PXE | Integração flexível com o RIS (Serviços de Instalação Remota) | Integração interna com o WDS (Serviços de Implantação do Windows)
Lado a lado | Scripts do BDD | Sim, por meio do State Migration Point
Implantação offline completa | Não | Sim
Planejamento de atualização do Windows Vista | Não | Sim
Implantação completa de servidor | Não | Sim
Gerenciamento de drivers de dispositivo | Não | Sim

Gerenciamento de atualizações de software
Assim como muitos outros recursos do Configuration Manager 2007, o gerenciamento de atualizações de software tem sido drasticamente renovado. O Configuration Manager separa a forma que as atualizações e os pacotes regulares são enviados a um agente gerenciado pela criação de um novo canal de alta prioridade baseado em estado para todas as atualizações de software e informações de gerenciamento de configuração desejadas. O envio de outro pacote de software nunca mais irá interferir no envio de atualizações de software ou no recebimento do status dos patches de estações de trabalho, laptops ou servidores gerenciados.
O método baseado em estado para o gerenciamento de atualizações de software também significa que o status de patch e de atualização não está mais ligado às pesquisas de inventário de hardware e, como resultado, o ITMU (Inventory Tool for Microsoft Update) atual e o catálogo de pesquisa não são mais necessários. Em vez disso, o Configuration Manager usa a nova função de servidor SUP (Software Update Point) executando o WSUS (Windows Server Update Services) no back-end como seu mecanismo de atualização de software e banco de dados.
O WSUS permite que você tenha um local central para todo o gerenciamento de atualizações no Configuration Manager. Isso lhe permite baixar todo o conteúdo disponível no Microsoft Update, incluindo atualizações não críticas, drivers e outros pacotes de software para a plataforma Microsoft. Além disso, a Microsoft também está encorajando seus parceiros a lançarem atualizações de software por esse método. A Adobe e a Citrix são duas dessas empresas que, no momento, estão publicando manifestos para o ITCU (Inventory Tool for Custom Updates) no SMS 2003 R2 e planejam fazer isso também para o Configuration Manager.
Esse novo mecanismo de atualização de software também oferece um status de atualização quase em tempo real, que permite a geração de relatórios melhores e de modos de exibição home pages avançados. Esses modos de exibição personalizados podem exibir mapas gráficos rápidos do status de patch de uma infra-estrutura de TI ou de uma coleção de computadores específica. A Figura 6 mostra como é fácil exibir os dados de compatibilidade de patch para um boletim específico por meio dos novos modos de exibição de home page para o gerenciamento de atualizações de software.
Figura 6 Exibindo o status da atualização de software
Figura 6 Exibindo o status da atualização de software
Por fim, os modelos de implantação de atualizações de software reduzem drasticamente o número de etapas necessárias ao envio de atualizações a um sistema ou coleção. Ao usar os modelos de implantação de atualizações de software para armazenar informações comuns de configuração, como forçar ou não a reinicialização ou se o cliente deve baixar patches do ponto de distribuição local antes de executar a instalação, esse recurso reduz o número de etapas das 18 exigidas pelo ITMU no SMS 2003 para somente 6 no Configuration Manager 2007.

O gerenciamento de configuração desejado
O gerenciamento de configuração é outro tremendo recurso que foi bastante aperfeiçoado no Configuration Manager 2007. O DCM (Desired Configuration Monitoring) do SMS 2003 foi lançado no outono de 2006 e ofereceu muitos dos principais recursos incluídos no DCM do Configuration Manager 2007. Para obter informações básicas sobre o DCM, consulte o artigo da Technet Magazine em microsoft.com/technet/technetmag/issues/2006/09/HighStandards. A Figura 7 mostra a home page do DCM exibindo a conformidade para duas linhas de base de configuração específicas.
Figura 7 Informando a conformidade de linha de base da configuração desejada
Figura 7 Informando a conformidade de linha de base da configuração desejada
A principal orientação para o DCM no Configuration Manager vem de uma quantidade significativa de pesquisa feita pela Microsoft junto a seus clientes, mostrando que a maioria das quedas de serviço são causadas pela má configuração do sistema operacional ou do aplicativo em servidores ou desktops de missão crítica. Ao usar a funcionalidade DCM no Configuration Manager, os administradores podem, rapidamente, capturar descompassos na configuração executando pesquisas de linha de base periódicas nos sistemas. Essas linhas de base são criadas com itens de configuração (CIs) e oferecem informações de conformidade para uma coleção de computadores de sua organização.
Além de capturar os descompassos de configuração, o DCM pode ajudar tanto na criação de relatórios de conformidade a normas como na verificação de mudanças. Na maioria das organizações, é muito provável que seja necessária a criação de relatórios de conformidade a normas como SOX (Sarbanes-Oxley), PCI DSS (Payment Card Industry Data Security Standard) e a lei americana HIPAA (Health Insurance Portability and Accountability Act). O Configuration Manager 2007 pode oferecer os relatórios necessários por meio do DCM.
A seguir, descreverei o funcionamento do DCM. Um administrador definirá os itens de configuração — unidades de configuração que podem ser excluídas, aplicadas e removidas dos computadores. Depois que esses itens de configuração são definidos, você pode criar uma linha de base de configuração composta de um ou mais deles. Essas linhas de base são, então, atribuídas às coleções do Configuration Manager para o monitoramento da conformidade e para a criação de relatórios normativos.
Os itens de configuração podem verificar vários aspectos diferentes de um computador para obter informações, incluindo o Active Directory®, metadados de arquivos, resultados de scripts, dados armazenados no SQL Server™, dados de atualização de software, WMI, XML, valores do registro, metadados do IIS e a presença e configuração do Microsoft Installer. As informações obtidas desses locais diferentes são armazenadas no banco de dados do Configuration Manager e usadas na verificação da conformidade do sistema.
Como uma observação interessante, o processo do DCM e o processo do envio de novas atualizações por meio do Configuration Manager 2007 estão totalmente integrados agora. Assim como o novo mecanismo de atualização de software, todos os dados do DCM estão usando o canal de alta prioridade baseado em estado. A integração desses dois recursos de missão crítica permite que um administrador defina uma nova linha de base do DCM ou atualize uma existente com novas atualizações como parte do processo de implantação.

Gerenciamento de clientes baseados na Internet
Você já teve um computador desconectado da rede por tanto tempo que o seu objeto no SMS se tornou obsoleto? Com base em conversas com meus clientes, parece que isso acontece com bastante freqüência. Felizmente, o Configuration Manager 2007 apresenta o novo gerenciamento de clientes baseados na Internet. Esse recurso funciona de maneira muito parecida com a forma como o Microsoft Office Outlook® se comunica com o Exchange Server sobre HTTPS sem uma rede virtual privada (VPN). Se você não conhece esse cenário, ele simplesmente significa que você obtém uma comunicação mais segura para máquinas clientes sem necessitar da complicação de uma conexão VPN.
O gerenciamento de clientes baseados na Internet permite que você gerencie computadores na Internet com o mesmo nível de controle que tem sobre computadores na intranet. Na verdade, todos os recursos discutidos neste artigo funcionarão no gerenciamento de clientes baseados na Internet, exceto a implantação do sistema operacional, wake-on-LAN e as ferramentas remotas, já que eles usam portas diferentes para a comunicação e não podem ser encapsulados sobre SSL ou TLS. Alguns grandes exemplos de situações onde o gerenciamento de clientes baseados na Internet é de grande serventia são os dispositivos de ponto de venda para restaurantes, lojas de varejo e postos de gasolina, computadores domésticos de funcionários e para equipes distribuídas de vendas ou equipes de consultores.
Existem alguns requisitos que você precisará implementar antes de habilitar o gerenciamento de clientes baseados na Internet na infra-estrutura do seu Configuration Manager 2007. Primeiro, você precisará de uma infra-estrutura de chave pública (PKI) para atribuir certificados digitais a todos os agentes gerenciados pelo Configuration Manager. Isso permite que você use autenticação mútua entre os servidores do Configuration Manager e todos os agentes de gerenciamento para garantir que os dados recebidos estejam criptografados e que tenham vindo de uma fonte confiável. Você também precisará de um terminador SSL para funcionar como o ponto de conexão entre os servidores do Configuration Manager e todos os clientes baseados na Internet. O Microsoft Internet Security and Acceleration (ISA) Server 2006 é uma solução baseada em software que atende a esses requisitos.
A função de servidor FSP (Fallback Status Point) é usada no gerenciamento de clientes baseados na Internet. Se algum de seus agentes baseados na Internet falhar em se comunicar corretamente ou se um certificado expirar, o agente informará o problema ao ponto de status de fallback disponível na rede de perímetro da sua organização. Isso garante que você nunca perderá contato com os seus sistemas gerenciados pela Internet. Além disso, os clientes podem alternar entre o gerenciamento baseado na Internet e o gerenciamento baseado na intranet de forma automática para utilizarem os recursos apropriados nos horários adequados e da melhor forma.

Outros recursos novos
Embora não seja visto como um recurso de missão crítica, o wake-on-LAN é extremamente valioso para o arsenal de ferramentas de um administrador para a execução de distribuição de software, atualização de software ou implantação do sistema operacional de forma rápida e silenciosa. O Configuration Manager 2007 habilita a funcionalidade wake-on-LAN para todos os agentes gerenciados baseados na intranet que possuam uma placa de rede compatível. A Figura 8 mostra um exemplo de como você pode usar o wake-on-LAN para fazer um anúncio com o novo Assistente para um novo anúncio. Neste caso, estou implantando um novo pacote em um grupo de computadores. Se um dispositivo wake-on-LAN estiver desligado, com essa configuração habilitada no assistente, o Configuration Manager iniciará o sistema para implantar o pacote definido pelo anúncio.
Figura 8 Wake-on-LAN em um anúncio de distribuição de software
Figura 8 Wake-on-LAN em um anúncio de distribuição de software
O controle remoto foi completamente reescrito no Configuration Manager para oferecer uma solução mais segura e confiável com um desempenho significativamente mais rápido. Em vez das antigas ferramentas existentes desde o SMS 1.0, o Configuration Manager usa agora a tecnologia de colaboração nativa do Windows Vista sobre o protocolo RDP. A funcionalidade básica é a mesma do SMS 2003, já que não há necessidade de que o usuário final aceite novas sessões. No entanto, três novos níveis de acesso foram introduzidos: controle total, somente exibição e nenhum. Além dessa nova tecnologia, o Configuration Manager 2007 ainda é integrado à Assistência Remota nas ocasiões em que essa funcionalidade é necessária.

Conclusão
Mostrei a você os diversos recursos novos e aprimoramentos do System Center Configuration Manager 2007. Esses recursos foram criados para facilitar o esforço administrativo, permitir novas cargas de trabalho e diminuir custos em seu ambiente de TI. Com o Configuration Manager 2007, assim como os outros produtos da família System Center, você estará equipado para lidar com a maioria das infra-estruturas de TI mais exigentes, oferecendo ao seu negócio uma vantagem competitiva.
Além dos recursos descritos neste artigo, existem muitos outros aprimoramentos no produto, como a integração à Proteção de Acesso à Rede (NAP) do Windows Server® 2008 e os recursos avançados de gerenciamento de ativos de software (SAM) baseados na mesma tecnologia de inteligência de ativos incluída no SMS 2003 SP3. Eu recomendo que você baixe a versão RC do Configuration Manager 2007 ou a versão de avaliação do RTM para ver esses recursos em ação em sua infra-estrutura.
Para obter mais informações e uma visão geral de todos os produtos da família System Center, visite microsoft.com/systemcenter. A partir dali, você poderá navegar para qualquer solução da família System Center, incluindo o Configuration Manager.

John Orefice é profissional de soluções tecnológicas da Microsoft na região NE dos Estados Unidos. Trabalhou com soluções de gerenciamento da Microsoft por vários anos, primeiro como consultor da MCS (Microsoft Consulting Services) e depois em sua função atual. Entre em contato com ele pelo email john.orefice@microsoft.com.
© 2007 Microsoft Corporation e CMP Media, LLC. Todos os direitos reservados. A reprodução parcial ou completa sem autorização é proibida..


 System Center: Implante aplicativos e atualiza&#231;&#245;es em suas filiais
System Center Steve Rachui

Implante aplicativos e atualizações em suas filiais
Visão geral:
  • Configurando um ponto de distribuição de filial
  • Tudo sobre limites
  • Três abordagens para provisionar dados

A Microsoft está prestes a lançar sua solução de última geração para o gerenciamento de sistemas. Anteriormente conhecido como SMS (Systems Management Server), o novo System Center Configuration Manager 2007
traz vários novos recursos realmente impressionantes. Um recurso muito útil é o BDP (ponto de distribuição de filial), um novo tipo de ponto de distribuição criado especificamente para atender às necessidades de escritórios pequenos ou distribuídos. À primeira vista e em comparação com outros novos recursos, pode parecer que o BDP é um acréscimo menos relevante, mas não convém subestimar esse recurso.
Nas versões anteriores do SMS, os sistemas de servidor eram as únicas plataformas com suporte para hospedar pontos de distribuição. Como resultado, os administradores que precisavam fornecer serviços a filiais, onde geralmente não há servidores locais e a comunicação é feita por meio de links de WAN mais lentos, lutavam para criar e pôr em funcionamento uma infra-estrutura que permitisse a distribuição pontual e eficiente de software. O BDP foi criado exatamente para solucionar as necessidades desse cenário.
O BDP, criado para operar em sistemas de estações de trabalho e servidores, é um componente disponível em todos os clientes do Configuration Manager 2007, embora não seja habilitado por padrão. Todos os clientes do Configuration Manager 2007 têm o código necessário para operar como BDPs, mas nem todos os clientes devem ser configurados dessa forma.

Configurando um BDP
Ativar a função de BDP em um cliente é basicamente o mesmo que configurar qualquer ponto de distribuição baseado em servidor. Primeiro, é preciso configurar um cliente como um novo sistema de site (conforme mostrado na Figura 1), e depois indicar que ele é um ponto de distribuição de filial (como na Figura 2). Essa configuração faz com que o BDP seja listado como ponto de distribuição disponível para pacotes, atualizações de software, imagens OSD (Operating System Deployment) e assim por diante. Uma política será preparada pelo servidor de site e destinada ao cliente selecionado, que ativará a função de BDP. Quando a política for baixada, o cliente começará a atuar como um BDP.
Figura 1 Configurar o cliente como um novo sistema de site
Figura 1 Configurar o cliente como um novo sistema de site
Figura 2 Configurar o sistema de site como um ponto de distribuição de filial
Figura 2 Configurar o sistema de site como um ponto de distribuição de filial
Um BDP, assim como qualquer sistema de site, pode ser configurado para atender a um limite específico (anteriormente denominado limite de site no SMS 2003) ou a um grupo de limites, ou então para operar sem especificação de limites. No Configuration Manager 2007, os limites são geralmente definidos pela sub-rede de IP ou pelo site do Active Directory®.
Para configurar um BDP para atender a um conjunto específico de limites, selecione a opção "Enable this site system as a protected site system" (Habilitar este sistema de site como um sistema de site protegido) na janela de configuração do sistema de site; em seguida, especifique os limites que devem ser atendidos, conforme mostrado na Figura 1. Observe que essa etapa é obrigatória, se você estiver planejando usar o BDP para o provisionamento de conteúdo por demanda (o que descreverei em seguida). Se essa etapa for omitida, o BDP funcionará essencialmente como um ponto de distribuição padrão.

Sobre limites
Os limites protegidos em um BDP só servem para definir quais os clientes capazes de acessar conteúdo no BDP; eles não participam da determinação de qual ponto de distribuição padrão um BDP pode acessar para baixar o conteúdo de que precisa. Suponha, por exemplo, que há um ambiente com um BDP instalado no Limite A. Agora, suponha que o Limite B contém o único ponto de distribuição padrão usando o BITS (Serviço de Transferência Inteligente em Segundo Plano), e que esse ponto de distribuição está configurado para atender somente a clientes no Limite B. Quando o BDP tentar baixar conteúdo, será bem-sucedido? De acordo com as regras esperadas para limites protegidos, você pode pensar que não. Contudo, nesse cenário, o download funcionaria, pois os downloads de BDP não respeitam limites protegidos configurados em pontos de distribuição padrão.
Os BDPs também proporcionam uma grande flexibilidade. É possível habilitar um único BDP por local de filial ou, se necessário, habilitar vários BDPs em uma só filial (limite). Quando vários BDPs são configurados para atender aos mesmos limites, eles trabalham em conjunto, de forma semelhante ao balanceamento de carga, para fornecer conteúdo aos clientes dentro desses limites.

Provisionando dados
Quando habilitado, um BDP pode obter o conteúdo de que precisa de três formas diferentes: provisionado pelo administrador, provisionado por demanda e provisionado manualmente. Independentemente do método usado para obter conteúdo, pelo menos um ponto de distribuição padrão habilitado para BITS precisa estar disponível e ser provisionado com o conteúdo a ser recebido pelo BDP. Vamos analisar os três métodos que podem ser usados para obter conteúdo.
Provisionado pelo administrador Esse método conhecido consiste em preparar o conteúdo em um ponto de distribuição. O uso dessa abordagem exige que o administrador selecione manualmente o BDP como um ponto de distribuição. Isso fará com que seja preparada uma política, avisando ao BDP para baixar o conteúdo provisionado por um ponto de distribuição padrão habilitado para BITS no mesmo site durante o próximo ciclo de atualização da política.
Provisionado por demanda Esse é um novo método para preparar conteúdo, específico do BDP. Essa abordagem permite que o conteúdo seja baixado por demanda para o BDP, quando solicitado por um cliente. O administrador não atua provisionando o conteúdo no BDP — ou seja, o BDP não é selecionado como ponto de distribuição no nó de pacotes. O provisionamento por demanda fará com que o BDP seja efetivamente selecionado como um ponto de distribuição quando for feita a solicitação de conteúdo. Isso ocorre em segundo plano, de forma automática.
O provisionamento por demanda só pode ocorrer se o pacote for configurado para dar suporte a essa opção (veja a Figura 3) e se o BDP estiver protegido, para garantir que os clientes que solicitem conteúdo só possam acessar o BDP, e não qualquer ponto de distribuição padrão que tenha o conteúdo. Observe que, se vários BDPs forem configurados nos mesmos limites protegidos, uma solicitação de provisionamento por demanda a um deles resultará no provisionamento do conteúdo para todos.
Figura 3 Habilitando a distribuição por demanda de um pacote
Figura 3 Habilitando a distribuição por demanda de um pacote
Provisionado manualmente Como o nome indica, esse método para preparar conteúdo exige a ação manual do administrador. O pacote precisa ser configurado para indicar que o conteúdo será transferido manualmente, conforme mostrado na Figura 3. O conteúdo, então, deve ser copiado manualmente para o BDP na pasta de pacotes, usando a estrutura de diretório esperada para um pacote típico.
O BDP irá reconhecer o novo pacote e torná-lo disponível para os clientes solicitantes. Como esse método permite que o conteúdo seja transferido para o BDP usando mídia removível, é ideal para ambientes com largura de banda limitada entre o ponto de distribuição padrão e o BDP.
Você pode configurar um BDP para armazenar conteúdo baixado em uma partição específica; se nenhuma partição for especificada, o BDP escolherá automaticamente a partição a ser utilizada. Quando o conteúdo for configurado para ser preparado em um BDP ou quando uma solicitação por demanda for processada, o conteúdo de destino não estará imediatamente disponível no BDP. Em vez disso, será preparada uma política para avisar ao BDP que o conteúdo está disponível para download. No próximo ciclo da política, o BDP irá receber a política e iniciar um download BITS do conteúdo. Você pode usar a Diretiva de Grupo para controlar com grande precisão a largura de banda utilizada e o cronograma dos downloads BITS. Observe que o compartilhamento do ponto de distribuição no BDP se parece com o compartilhamento de um ponto de distribuição padrão — ou seja, o conteúdo não é criptografado.

A configuração certa para a sua organização
Como já mencionado, a função de BDP foi criada para filiais, sendo totalmente funcional em sistemas de estação de trabalho. No entanto, também é possível operar um BDP em um sistema de servidor. O sistema operacional subjacente terá impacto sobre o número de conexões possíveis com o BDP. As estações de trabalho têm um limite de 10 conexões simultâneas; já os servidores não têm essa restrição. Assim, dependendo do número de conexões simultâneas às quais você precisa dar suporte, talvez você queira usar um sistema de servidor — ou então vários sistemas de estação de trabalho na filial. Independentemente da plataforma usada, deve haver pelo menos um ponto de distribuição padrão habilitado para BITS com o conteúdo solicitado.
Qualquer que seja a configuração da sua infra-estrutura, o BDP oferecerá muito mais controle sobre o fluxo de distribuição de software em qualquer organização. O suporte interno para BITS, que permite limitar e agendar downloads, oferece uma vantagem essencial para os administradores que precisam de um controle mais granular e maior capacidade de previsão.

Steve Rachuié engenheiro de escalonamento de suporte de gerenciamento no grupo de serviços de suporte a produtos da Microsoft. Ele trabalha no SMS desde a versão 1.2. Entre em contato com Steve pelo email steverac@microsoft.com.


 System Center: Introdu&#231;&#227;o ao System Center Essentials 2007
System Center David Mills

Introdução ao System Center Essentials 2007
Visão geral:
  • Instalando e atualizando
  • Configurando o Essentials 2007
  • Etapas da solução de problemas

O System Center Essentials 2007 é uma nova solução de gerenciamento de TI projetada especificamente para empresas médias, de 50 a 500 PCs e de 5 a 30 servidores. O Essentials 2007 foi criado em resposta aos diversos comentários feitos por profissionais de TI em relação ao que eles precisavam de uma
solução de gerenciamento unificada. O Essentials 2007 atende a essas necessidades e permite que o seu negócio comece a funcionar rapidamente, após uma instalação única e uma configuração fácil.
Mais especificamente, o Essentials 2007 oferece monitoramento, solução de problemas e uma funcionalidade de inventário de bens para ajudá-lo a manter o seu ambiente de TI seguro e atualizado. O Essentials 2007 também oferece um console de gerenciamento unificado, onde é possível gerenciar os seus servidores, clientes, hardware, software e serviços de TI (consulte a Figura 1). Além disso, o Essentials pode tornar as tarefas complexas de gerenciamento, como a solução de problemas de usuários finais, o monitoramento e a implantação de software cliente e servidor, mais simples e mais eficientes.
Figura 1 O console de gerenciamento do Essentials 2007
Figura 1 O console de gerenciamento do Essentials 2007

Requisitos do Essentials 2007
Antes de iniciar a instalação e a configuração do seu Essentials 2007, verifique se os seus sistemas atendem aos requisitos mínimos de software e de hardware. O sistema operacional do seu servidor deve ser o Windows Server® 2003 SP1 ou R2 ou o Windows® Small Business Server 2003 SP1 ou superior. Você também precisa do Active Directory®, IIS 6.0, do Microsoft® .NET Framework 2.0 e 3.0 ou superior e do SQL Server™ 2005 SP1. O servidor exige pelo menos 1 GB de RAM, 12 GB de espaço livre em disco e um processador de 1,8 GHz. É recomendável um computador com 2 GB de RAM e 20 GB de espaço livre em disco e com um processador de 2,8 GHz ou mais rápido.
O sistema operacional dos computadores clientes gerenciados deve ser o Windows 2000 Professional SP4, o Windows XP SP2 ou o Windows Vista®. Os sistemas operacionais x86 e x64 são suportados.
O sistema operacional dos computadores servidores gerenciados deve ser o Windows 2000 Professional SP4 ou superior. Os sistemas operacionais x86 e x64 são suportados. Uma vez que a maioria de vocês provavelmente desejará monitorar e gerenciar seus ambientes de TI por meio de seus desktops ou de computadores laptop, será melhor executar somente a instalação do console do Essentials 2007 em suas máquinas. Antes de começar, verifique se a sua máquina possui o Windows XP SP2, o Windows Vista ou o Windows Server 2003 SP1.
Além disso, quando estiver planejando a configuração do seu servidor Essentials 2007, reserve espaço em disco suficiente para manipular os downloads de atualização e o seu banco de dados de relatórios. Para as atualizações, o seu banco de dados poderá aumentar além dos 2 GB e o conteúdo poderá aumentar além de 6 GB. Os bancos de dados operacional e de relatórios do Essentials podem aumentar até 4 GB. Faça um planejamento com isso em mente para não ficar sem espaço de armazenamento.

Instalando o Essentials 2007
A instalação do Essentials 2007 é simples porque usa, com eficiência, assistentes para guiá-lo rapidamente pelas tarefas fundamentais, como a instalação e a configuração, a descoberta de computadores e a configuração das atualizações. Quando você executa o assistente para instalação, o Essentials 2007 verifica automaticamente esses pré-requisitos e informa se algo foi esquecido (consulte a Figura 2).
Figura 2 Verificando os pré-requisitos de instalação
Figura 2 Verificando os pré-requisitos de instalação
Se um item obrigatório não estiver no disco do Essentials 2007, haverá um link na tela de instalação até o software que está faltando. Mais adiante no assistente para configuração, você precisará digitar um caminho para o local de instalação do Essentials 2007 e informações sobre uma conta com privilégios administrativos. O gerenciamento de computadores usando o Essentials 2007 poderá ser uma tarefa muito mais simples caso essa conta tenha direitos de administrador no servidor de gerenciamento e em todos os computadores gerenciados. O Essentials oferece suporte à utilização de uma única conta para a execução de tarefas como a instalação de agentes em computadores gerenciados.
Se você ainda não tem um SQL Server 2005 instalado e disponível, tanto local como remotamente, para uso com o Essentials 2007, poderá fazer com que o Essentials 2007 instale o SQL Server 2005 Express with Advanced Services de forma local durante a sua instalação. Essa versão do SQL Server foi incluída no disco do Essentials 2007. Você também pode adquirir uma versão do Essentials 2007 com o SQL Server 2005 Standard, licenciada especificamente para ele.
Você só precisa tomar mais uma decisão importante durante a instalação: onde o Essentials 2007 armazenará as suas atualizações. Você pode armazenar as atualizações localmente ou elas poderão ser entregues aos computadores gerenciados pela rede a partir do seu servidor Essentials 2007. Talvez essa seja a melhor opção, especialmente se o acesso à Internet for um gargalo em sua rede. As atualizações também poderão ser baixadas diretamente do Microsoft Update sempre que um computador tiver de ser atualizado. A seleção dessa opção significa que uma atualização para 50 computadores será baixada 50 vezes, uma para cada computador. Pode ser trabalhoso, mas a vantagem é a utilização de menos espaço em disco em seu servidor de gerenciamento.
A topologia de implantação de linha de base suportada pelo Essentials 2007 é instalar todos os componentes de gerenciamento em um único servidor (consulte a Figura 3). No entanto, você também pode optar por instalar o console de gerenciamento do Essentials 2007 no desktop ou no laptop de seu escritório e controlar remotamente o servidor de gerenciamento. Antes de instalar o console remoto, é preciso executar o Feature Configuration Wizard no servidor Essentials 2007. Esse processo estabelece se a Diretiva de Grupo do domínio ou se a Diretiva de Grupo local será usada na configuração do console remoto. Se você escolher a Diretiva de Grupo do domínio, verifique se houve tempo suficiente para atualizá-la no computador em que estiver instalando o console remoto. É possível instalar vários consoles remotos, se necessário.
Figura 3 Configuração de linha de base do Essentials 2007
Figura 3 Configuração de linha de base do Essentials 2007
Se você gerencia um ambiente de TI com mais de 200 computadores, precisará instalar o SQL Server 2005 em um servidor remoto (e não no servidor de gerenciamento do Essentials 2007) e usar essa instância remota como o banco de dados do seu Essentials 2007 (consulte a Figura 4). Isso oferecerá um desempenho melhor à medida que a sua rede for aumentando. Não se esqueça de que esse servidor remoto precisa estar no mesmo domínio do servidor de gerenciamento do Essentials 2007.
Figura 4 Usando um banco de dados SQL Server remoto
Figura 4 Usando um banco de dados SQL Server remoto
Se você optar por uma instância existente do banco de dados SQL durante a instalação do Essentials 2007, verifique se o SQL Server 2005 SP1 Reporting Services está instalado e configurado no servidor de gerenciamento do Essentials 2007.

Atualizando para o Essentials 2007
É provável que você já tenha o WSUS (Windows Server Update Services) 2.0 ou 3.0 em execução para manipular as atualizações da Microsoft. Se esse for o caso, e se você quiser atualizá-lo para o Essentials 2007 para obter uma solução de gerenciamento mais abrangente, o Essentials permite essa atualização durante o processo de instalação. Ela preserva as informações existentes, incluindo binários, grupos e aprovações.
Se você estiver usando o MOM (Microsoft Operations Manager) 2005 ou o MOM 2005 Workgroup Edition para monitorar seus principais servidores mas deseja os recursos adicionais do Essentials 2007 para obter inventário de bens, distribuição de software e atualizações, será possível migrar seus pacotes de gerenciamento exportando-os, fazendo sua conversão e então importando-os diretamente para o Essentials 2007. Assim como o MOM 2005, o Essentials 2007 utiliza pacotes de gerenciamento para o monitoramento de computadores e de dispositivos. Os pacotes de gerenciamento também contêm as informações necessárias para o diagnóstico e resolução de problemas de TI. Se não quiser migrar completamente para o Essentials 2007, você pode manter uma operação lado a lado para preservar o monitoramento de missão crítica e fazer a migração em um momento mais adequado.
Saiba que algumas das configurações do WSUS não serão preservadas na atualização para o Essentials 2007. Você perderá informações sobre computadores, aprovações e configurações automáticas e sobre quaisquer aprovações existentes para os grupos chamados Todos os clientes ou Todos os servidores. Assim, será preciso excluir esses grupos do WSUS antes da atualização. Em seguida, essas aprovações terão de ser recriadas após a conclusão da instalação do Essentials 2007.
Observe que você não poderá fazer essa atualização do WSUS se o servidor existente tiver servidores downstream ativos. O Essentials não oferece suporte ao modo USS (WSUS Upstream Server). Como esse fato não pode ser detectado de forma confiável, você será avisado caso o servidor WSUS tenha servidores downstream. Além disso, não continue com a atualização se estiver usando o WSUS 2.0 ou 2.0 SP1 com um servidor de banco de dados remoto se não estiver usando o SQL Server 2005 SP1 para armazenar os dados do WSUS.
Uma cópia de backup do banco de dados atual será automaticamente criada durante o processo de atualização. Se a atualização não obtiver êxito, será possível restaurar o ambiente anterior usando a cópia de backup. Verifique se você possui espaço em disco suficiente para fazer o backup do banco de dados atual do WSUS ao examinar o tamanho do arquivo do banco de dados e confirmar a existência de espaço suficiente para a cópia.

Configurando o Essentials 2007
O Essentials 2007 oferece muitos assistentes que o ajudarão nas tarefas de configuração e de gerenciamento. O Feature Configuration Wizard orienta você por algumas etapas da configuração que seriam difíceis caso fossem executadas manualmente, como a configuração da Diretiva de Grupo. A Figura 5 mostra a primeira página do assistente.
Figura 5 Iniciando o Feature Configuration Wizard
Figura 5 Iniciando o Feature Configuration Wizard
Se você quiser usar um servidor proxy na conexão com a Internet, uma das primeiras etapas será inserir o nome do servidor e o número da porta. Em seguida, será possível escolher um tipo de Diretiva de Grupo para configurar os computadores gerenciados — seja ela local ou de domínio. Também é possível criar uma exceção do Firewall do Windows caso você opte por usar a Diretiva de Grupo do domínio para configurar os computadores gerenciados.
A próxima etapa é a habilitação da assistência remota dos computadores, que é opcional. Isso se aplicará se a Diretiva de Grupo do domínio for usada na configuração dos clientes. Observe que essa etapa criará uma exceção do firewall em todos os computadores gerenciados para permitir o DCOM sobre TCP na porta 135.
Você pode decidir se irá coletar o monitoramento de erros sem agente dos computadores gerenciados. Se você disser que sim e escolher um local para o armazenamento dos erros, então os computadores gerenciados enviarão relatórios de erros para o servidor Essentials 2007 e você poderá exibi-los para ver que aplicativos estão tendo problemas.
Existem opções que especificam o envio do seu relatório de erros para a Microsoft ou o envio de um DHR (Daily Health Report) com informações sobre alertas, atualizações, software e inventário. Se você configurar o DHR para ser enviado por email, poderá determinar rapidamente o que está acontecendo em seu ambiente de TI no início de seu dia de trabalho.
Finalmente, é possível agendar a descoberta de novos computadores como diária. Eu recomendo a seleção dessa opção, já que ela diz ao Essentials 2007 para executar uma pesquisa diária do Active Directory para procurar por computadores e configurá-los para o gerenciamento automático.
A execução do Computer and Device Management Wizard (Assistente para configuração de computadores e dispositivos), configurado para a descoberta automática de computadores solicita que o servidor Essentials 2007 consulte o Active Directory e descubra todos os computadores listados no domínio para que sejam gerenciados (consulte a Figura 6). Se você selecionar a opção de descoberta avançada, poderá filtrar os dispositivos descobertos por tipos, como somente clientes ou dispositivos de rede, procurar em um determinado intervalo de endereços IP ou criar consultas avançadas. Eu recomendo selecionar a descoberta automática de computadores e executá-la primeiro para descobrir todos os clientes e todos os servidores. Já que o Essentials 2007 também monitora os dispositivos de rede compatíveis com o protocolo SNMP, também é possível executar o assistente novamente no modo avançado para descobri-los.
Figura 6 Iniciando o Computer and Device Management Wizard
Figura 6 Iniciando o Computer and Device Management Wizard
Se a sua rede tiver mais de 300 computadores, provavelmente será melhor escolher a descoberta avançada e oferecer critérios mais específicos para a localização de seus computadores. Quando estiver especificando uma conta de administrador, verifique se ela possui privilégios administrativos nos computadores que serão descobertos e nos quais serão instalados os agentes. Quando a descoberta estiver concluída, escolha os computadores que deseja gerenciar e feche o assistente.
Se você já utilizou o WSUS, algumas das configurações do Update Management Configuration Wizard (Assistente para configuração de gerenciamento de atualizações) lhe serão familiares. Se for necessário haver um servidor proxy na conexão do seu servidor com a Internet, insira suas configurações. Selecione os produtos para os quais você deseja baixar e implantar atualizações e selecione os idiomas necessários para as atualizações (o idioma do servidor será o padrão). Selecione as categorias de atualizações que deseja baixar e implantar (as atualizações críticas, as atualizações de segurança e os service packs são o padrão). Selecione as categorias de atualizações, se houver, que deseja aprovar automaticamente a para quais grupos (o padrão são as atualizações críticas e de segurança para o grupo de todos os computadores). Finalmente, defina o agendamento para a sincronização de atualizações (o padrão é diário).
Se você puder fazer logon com as credenciais de administrador de domínio ou de administrador de Diretiva de Grupo durante a configuração do Essentials 2007, selecione a Diretiva de Grupo do domínio para configurar os computadores gerenciados, pois isso facilitará muito a configuração. Se a Diretiva de Grupo do domínio for selecionada, será possível automatizar a configuração do Firewall do Windows e da Assistência Remota em todos os computadores gerenciados. Essa opção faz com que o Essentials 2007 crie as configurações de diretiva para você. Se a diretiva local for selecionada, você terá que fazer muitas configurações manuais.

Solução de problemas do Essentials
Existem vários aspectos a serem considerados na solução de problemas de descoberta de computadores, de implantação de agentes e de comunicação. Primeiro, vejamos como funciona o processo de descoberta de computadores. O Essentials 2007 recebe os seus parâmetros de entrada de pesquisa e cria uma consulta do protocolo LDAP (o LDAP é a linguagem de consultas usada na pesquisa de objetos no Active Directory). A consulta LDAP é passada para o controlador de domínio local e envia uma tarefa de pesquisa; o Active Directory devolve os resultados ao servidor de gerenciamento. Então, o servidor de gerenciamento tentará se conectar a cada computador da lista para verificar se ele pode se comunicar com esses computadores para instalar os agentes de gerenciamento. Depois da verificação de um computador, ele será adicionado à lista de computadores descobertos e que poderão ser gerenciados.
Observe, no entanto, que o servidor Essentials 2007 pode não ser capaz de descobrir computadores se houver problemas no Active Directory, na rede e no DNS ou na verificação.
Abra o console de gerenciamento Usuários e computadores do Active Directory para ser se o computador está listado. Essa ferramenta é instalada por padrão no Windows Server 2003 e pode ser instalada no Windows XP Professional por meio do Windows Server 2003 Administration Pack. Selecione a pasta de consultas salvas, clique com o botão direito do mouse sobre ela, aponte para Nova e clique em Consulta. Insira um nome para a consulta e clique no botão Definir consulta. Clique na lista suspensa chamada Localizar e selecione Computadores. Digite o nome ou o prefixo de pesquisa e clique em OK algumas vezes para gerar a consulta.
Agora, verifique se o computador apareceu na lista de resultados. Caso ele não tenha aparecido, adicione-o ao Active Directory. Verifique se a propriedade DNSHostname foi definida corretamente para o computador; ela pode ser encontrada na guia Geral da caixa de diálogo do computador no console de gerenciamento Usuários e computadores do Active Directory.
Se for necessário entrar em contato com um computador pela rede, use o comando ping e tente chegar a ele usando o mesmo nome oferecido pelo assistente para descoberta. Se a máquina responder a um comando ping, execute o ping com a opção -a e o endereço IP:
ping -a <IP address>
O comando a seguir exibirá o DNS da máquina; ele deve ser igual ao que foi usado no comando ping original. Use este comando para exibir o nome NetBIOS registrado e o domínio do computador:
nbtstat -a <computer name>
Este comando executará a mesma tarefa com o endereço IP da máquina.
nbtstat -A <IP address>
A opção do comando -a diferencia maiúsculas de minúsculas. Observe que foi utilizado –A com o endereço IP. Se a máquina não responder a uma solicitação de ping ou se uma instalação remota de agente falhar com a mensagem "Serviço RPC indisponível", então o Firewall do Windows estará ativado. No caso de um firewall habilitado no ambiente de implantação do Essentials 2007, as exceções deverão ser criadas para que o servidor de gerenciamento do Essentials 2007 possa instalar os agentes nos computadores gerenciados e para que os computadores gerenciados possam se comunicar com o servidor de gerenciamento (quando um computador de gerenciamento estiver sendo usado, você não precisará criar exceções de firewall manualmente se estiver usando a Diretiva de Grupo do domínio em vez da local).
Se a instalação do agente falhar, navegue até o espaço de administração (a engrenagem dourada no canto superior esquerdo do console de gerenciamento principal do Essentials 2007, ao lado do botão de navegação de relatórios) e clique em Pending Management (Gerenciamento pendente). Esse modo de exibição oferecerá as etapas de solução de problemas, assim como a capacidade de enviar novamente o agente para os computadores em que a instalação falhou na primeira tentativa.
Verifique se foram permitidas várias horas para a aplicação da diretiva do firewall para todos os computadores a serem gerenciados. Se você tentar executar o Feature Configuration Wizard, selecionar a Diretiva de Grupo do domínio e o Computer and Device Management Wizard em uma rápida sucessão, talvez a diretiva do firewall não tenha a chance de ser aplicada aos computadores que estão descobertos e, portanto, isso poderá fazer com que a descoberta falhe se o firewall ainda estiver habilitado.
Uma forma de descobrir se um agente poderá ser instalado com êxito em um computador é tentar fazer um telnet para esse computador a partir do servidor de gerenciamento. Se você puder executar o telnet por meio da porta 135 do servidor de gerenciamento para o computador, tudo estará funcionando. Caso contrário, o firewall desse computador pode estar bloqueando a porta TCP 135. Para executar o telnet, basta abrir uma janela de comando e digitar:
telnet <computer_name> 135
Esse comando conectará você ao nome do computador especificado via telnet pela porta 135. A porta 135 é importante porque é a utilizada na instalação remota do agente.
Se não funcionar, verifique se as exceções adequadas foram criadas no Firewall do Windows para permitir a implantação do agente e a sua comunicação com o servidor de gerenciamento. Caso contrário, será preciso criar as exceções de porta mostradas na Figura 7. Para todas essas exceções, limite o escopo para o endereço IP do servidor de gerenciamento do Essentials 2007 usando a opção de lista Custom (Personalizado).
Figure 7 Exceções de porta (Close Figure 7)

Protocolo | Nome | Porta
TCP | Porta 6270 | 6270
TCP | Porta 135 | 135
TCP | Porta 445 | 445
Se os seus computadores utilizam software de firewall de terceiros, consulte a documentação do produto para criar as exceções. No entanto, as exceções de porta listadas na Figura 7 ainda servirão como modelo.
Se o nome NetBIOS e o nome de domínio totalmente qualificado (FQDN) não forem iguais, então os registros DNS da máquina devem estar incorretos. Se o agente for instalado mas não conseguir entrar em contato com o servidor de gerenciamento, conecte-se por meio dos Serviços de Terminal ou da Área de Trabalho Remota ao computador agente e utilize os comandos ping e nbtstat para verificar se o agente pode resolver os nomes NetBIOS e FQDN do servidor de gerenciamento.
Se o endereço IP do servidor de gerenciamento do Essentials 2007 for atribuído dinamicamente, você terá de atualizar as diretivas de firewall nos computadores gerenciados quando o endereço IP mudar. Para atualizar as exceções de firewall para um novo endereço IP do servidor de gerenciamento, habilite as duas configurações de diretiva a seguir no Editor de Objeto de Diretiva de Grupo e defina-as como descrito aqui. Em "Firewall do Windows: Autorizar exceção de administração remota", defina Permitir mensagens de entrada não solicitadas provenientes de como o novo endereço IP do servidor de gerenciamento. Em "Firewall do Windows: Autorizar exceções no compartilhamento de arquivos e impressoras", defina Permitir mensagens de entrada não solicitadas provenientes de como novo endereço IP do servidor de gerenciamento.

Resumo
Espero que você tenha achado as informações deste artigo úteis como introdução ao System Center Essentials 2007. Para obter mais informações sobre esse novo produto System Center, visite o endereço microsoft.com/sce.
Não se esqueça de que não há substitutos para um planejamento cuidadoso antes da implantação. Nesse caso, você estará implantando uma solução totalmente nova para o gerenciamento do seu ambiente de TI e, portanto, precisa de algum tempo para pensar em sua configuração atual de rede, na forma como seus usuários trabalham e na forma como você deseja gerenciar seus recursos de TI. A consideração desses aspectos o ajudará a configurar o Essentials 2007 para que ele atenda às suas necessidades.

David Mills está na Microsoft há sete anos e é gerente sênior de produto técnico do System Center Essentials 2007. Antes de se juntar à equipe do System Center Marketing, David liderou equipes de Assistência ao usuário na divisão do Windows Server, gerando documentação técnica profissional de TI para as tecnologias de Sistema de Rede Básico e de Gerenciamento.


 System Center: Vigie seus servidores com o Operations Manager 2007
System Center Pete Zerger

Vigie seus servidores com o Operations Manager 2007
Visão geral:
  • Os novos recursos do Operations Manager 2007
  • Usando o console de operações
  • A função das funções
  • Relatórios novos e poderosos

O System Center Operations Manager 2007 oferece um grande salto à frente para a plataforma de gerenciamento de operações da Microsoft. Ele representa uma mudança de paradigma na estratégia, mudando do monitoramento concentrado em computador para uma verdadeira plataforma de monitoramento
orientado a serviços. Embora o novo modelo guarde alguma semelhança com o seu predecessor como uma solução de monitoramento baseada em agentes, carregando conceitos conhecidos de qualquer administrador do MOM (Microsoft® Operations Manager) 2005, muita coisa mudou. Como veremos, existem novos recursos e novas interfaces de gerenciamento empolgantes e vários recursos adicionais para o aprendizado dessa nova adição à família Microsoft System Center.

Interfaces de gerenciamento
Não há locais com alterações mais aparentes do que as novas interfaces de gerenciamento. O Console de Operações e o Console do Administrador se foram e, em seu lugar, existe um Console de Operações consolidado e que oferece funções administrativas, de criação, operacionais e de relatórios (consulte a Figura 1). A árvore de pastas única do Console do Administrador do MOM 2005, quase sempre confusa, também desapareceu. Uma interface muito parecida com o Outlook® tomou seu lugar, exibindo cinco espaços de trabalho específicos da função: monitoramento, criação, relatórios, administração e meu espaço de trabalho.
Figura 1 Console de Operações
Figura 1 Console de Operações
O espaço de trabalho de monitoramento expõe modos de exibição de alerta, estado, desempenho e diagrama da infra-estrutura de rede em uma interface limpa, similar à vista no Console do Operador do MOM 2005.
O espaço de trabalho de criação é o local onde você configura novas regras e cria grupos em que as regras e os monitores irão operar. Uma interface de relatórios drasticamente aperfeiçoada foi integrada ao Console de Operações, eliminando a necessidade da visita a um site de relatórios separado. Uma interface para a execução de tarefas administrativas, como a descoberta de dispositivos de rede ou computadores e a configuração de segurança e de notificações, também foi incluída. Finalmente, o Meu Espaço de Trabalho permite que os usuários criem modos de exibição personalizados, salvem os modos de exibição e as pesquisas usados com mais freqüência e configurem assinaturas de notificações de alerta.
O Console de Operações é carregado com ajuda contextual, incluindo links para documentação de produção, webcasts online e orientação conceitual. O Console de Operações também inclui uma valiosa funcionalidade de pesquisa, que permite aos usuários definir critérios de pesquisa avançados para qualquer tipo de objeto, retornando resultados com base no tipo de objeto e características de valor definidas na pesquisa.
O painel de ações do Console de Operações oferece um host de tarefas contextuais que fornece informações sobre a configuração e o estado do objeto e permite que você lance o novo Health Explorer (Gerenciador de Integridade) para o objeto visado (consulte a Figura 2). No Health Explorer, a estrutura de árvore que representa a integridade dos objetos monitorados para uma determinada entidade (objeto monitorado) é hierárquica. Todas as entidades são monitoradas em pelo menos quatro parâmetros: disponibilidade, configuração, desempenho e segurança. Esses valores são exibidos em cascata para cima; o estado de cada um dos parâmetros é calculado com base no estado dos monitores abaixo dele na hierarquia.
Figura 2 Health Explorer
Figura 2 Health Explorer
O Health Explorer faz diagnósticos de falhas em objetos monitorados e possibilita que você aja em condições de erro ao clicar em hiperlinks do detalhe do evento. Também é possível executar qualquer tarefa de diagnóstico ou de recuperação exibida no painel de detalhes do Health Explorer (como na Figura 3) por demanda ou configurar a execução automática da tarefa quando um alerta for gerado. A saída de qualquer tarefa de diagnóstico (como a recuperação de uma lista de processos em execução) será automaticamente exibida no painel de detalhes quando o evento de alteração de estado for realçado.
Figura 3 Diagnósticos e recuperações
Figura 3 Diagnósticos e recuperações

Console Web
Os recursos de gerenciamento baseados em Web do Operations Manager foram amplamente expandidos nesta versão. O Console Web apresenta a funcionalidade das áreas Monitoramento e Meu Espaço de Trabalho do Console de Operações por meio do Internet Explorer®, oferecendo os mesmos modos de exibição disponíveis, incluindo um painel de ações totalmente funcional para a execução de tarefas contextuais, além da capacidade de colocar objetos monitorados em modo de manutenção (consulte a Figura 4).
Figura 4 Console Web
Figura 4 Console Web
Um Console Web móvel que permite o acesso a qualquer dispositivo móvel compatível com Web também foi incluído. O Console Web oferece um RSS feed que envia alertas para a Caixa de entrada do Outlook 2007 ou o agregador de RSS de sua escolha.

Command Shell
O Command Shell do Operations Manager é uma interface poderosa que permite o controle administrativo completo por meio de linha de comando. Muitas tarefas complexas podem ser iniciadas em uma única linha de código (conhecido como one-liner). O Command Shell é uma instância especialmente configurada do Windows PowerShell™, o ambiente de linha de comando orientado a objeto baseado no Microsoft .NET Framework. Ele oferece acesso a um host de funções, chamadas cmdlets, que podem executar qualquer tarefa disponível na GUI do Console de Operações — e muito mais. Esses cmdlets permitem que você execute uma tarefa com rapidez e facilidade em vários objetos de destino (como a colocação de um grande número de agentes em modo de manutenção) cuja execução seria muito mais demorada por meio do Console de Operações. Por exemplo, para exportar uma lista de todos os alertas críticos abertos para uma página da Web, execute o seguinte na janela do Command Shell do Operations Manager:
get-alert | where {$_.Severity -gt "Warning" -and $_.ResolutionState -eq 0 } | format-table
monitoringobjectdisplayname,name,severity,
description
A natureza orientada a objeto do Windows PowerShell é o que faz o Command Shell ser tão poderoso. Você obtém o poder das bibliotecas de classe do Operations Manager .NET sem precisar conhecer C# ou Visual Basic® .NET.

Descoberta de computadores e de dispositivos
A descoberta de computadores e a implantação de agentes também evoluíram no Operations Manager. Você pode descobrir agentes usando o Computer and Device Management Wizard (Assistente para gerenciamento de computadores e dispositivos) no Console de Operações, permitindo que os administradores pesquisem o Active Directory® ou insiram manualmente um computador ou lista de computadores de destino (consulte a Figura 5). As consultas detalhadas do protocolo LDAP permitem uma pesquisa mais granular de computadores específicos para a implantação de agentes.
Figura 5 Descoberta avançada por meio de consulta ao Active Directory
Figura 5 Descoberta avançada por meio de consulta ao Active Directory
O assistente permite que você descubra dispositivos compatíveis com o protocolo SNMP, para que depois eles sejam monitorados por regras do pacote de gerenciamento.
A integração com o Active Directory é outro aperfeiçoamento significativo. Ela permite que os administradores registrem informações sobre grupos de gerenciamento no Active Directory (por meio de um utilitário simples) para que os agentes do Operations Manager possam localizar o servidor de gerenciamento consultando o Active Directory na inicialização. A nova integração também permite que os administradores automatizem e simplifiquem a implantação de agentes, incluindo um agente do Operations manager em uma imagem de máquina, implantem agentes por meio de plataformas de gerenciamento de sistemas conhecidas (como o System Management Server 2003 ou o System Center Configuration Manager) ou da Diretiva de Grupo.

Segurança
O Operations Manager 2007 pode ser usado para monitorar vários tipos de aplicativos e talvez muitos deles tenham de ser restritos a certas equipes de suporte. Felizmente, o novo modelo de segurança baseado em função possui cinco perfis de usuário padrão que agrupam o acesso com base nas funções de tarefa comuns, desde o operador com somente leitura até o administrador. Cada uma das funções de usuário padrão se baseia em um dos perfis padrão. As funções de usuário definem os tipos de operação que podem ser executados por um usuário e o escopo desses direitos. Você também pode criar funções personalizadas ao selecionar um desses perfis padrão e configurar o escopo da função para restringir a visibilidade do monitoramento de dados a um subconjunto desejado de objetos, tarefas e modos de exibição monitorados. Tanto as funções de usuário padrão e personalizada baseadas nesses perfis de usuário podem ser atribuídas aos grupos de segurança do Active Directory, colocando as tarefas de provisionamento de usuário novamente nas mãos da equipe de administração da segurança.
O Executar como, que também é uma novidade do Operations Manager 2007, oferece uma infra-estrutura segura para o gerenciamento das credenciais necessárias para a execução de ações específicas. Por exemplo, algumas tarefas de monitoramento podem exibir credenciais com privilégios altos ou até mesmo credenciais não baseadas em Windows.
As contas Executar como devem ser associadas a um perfil Executar como que, por sua vez, pode ser associado a uma regra ou tarefa que exija privilégios especiais. O perfil Executar como permite que os autores do pacote de gerenciamento abstraiam o requisito de conta durante o processo de criação para que o administrador possam associar uma conta Executar como apropriada após a instalação do pacote de gerenciamento no Operations Manager.
O Operations Manager 2007 oferece mais segurança do que seu antecessor nas comunicações entre os agentes e os servidores de gerenciamento ao exibir autenticação mútua. Em ambientes confiáveis, a autenticação mútua é feita pelo Kerberos. Para ambientes não confiáveis e de rede de perímetro, a situação pode se tornar mais complicada. A autenticação mútua requer a autorização baseada em certificado usando certificados x.509, o que exigirá que as organizações considerem suas opções de infra-estrutura de chave pública (PKI) se não possuírem esse tipo de autenticação.

Funções de servidor
Embora o servidor de gerenciamento, o banco de dados de operações e as funções de servidor de relatórios do MOM 2005 tenham permanecido no Operations Manager, novas funções de servidor de gerenciamento foram introduzidas. A função de servidor de gerenciamento de raiz isola as principais funções, como autorização do usuário, notificação e gerenciamento de conexões de console em uma função dedicada na infra-estrutura. Para obter um desempenho melhor, o servidor de gerenciamento de raiz deve ser dedicado a essa função e nenhum agente deve ser configurado para enviar relatórios para ele.
A nova função de servidor gateway acomoda o uso mais eficiente dos computadores de gerenciamento em domínios não confiáveis e ambientes de perímetro ao oferecer uma única comunicação com o servidor de gerenciamento. Em muitos casos, os agentes do domínio de destino podem ser autenticados no servidor gateway por meio do protocolo Kerberos, minimizando a necessidade de autenticação baseada em certificado e reduzindo o esforço administrativo e o custo total de propriedade.

Relatórios
Os usuários perceberão que o Operations Manager 2007 mostra avanços notáveis no quesito relatórios, com um espaço de relatórios integrado ao Console de Operações. Da mesma forma, a segurança para os relatórios foi integrada à segurança geral do Operations Manager.
Existem algumas alterações arquiteturais importantes, incluindo quando e como os dados são entregues ao banco de dados de relatórios. A tarefa noturna DTS (Data Transformation Services), que transferia os dados de relatório do dia anterior do banco de dados de operações já não existe mais. Em vez dela, os dados são inseridos diretamente no banco de dados de relatórios ao mesmo tempo em que em que são inseridos no banco de dados de operações, resultando na ausência quase total de latência.
Os relatórios do Operations Manager contêm novos cabeçalhos de parâmetros inteligentes, oferecendo a flexibilidade para a definição e criação de relatórios em intervalos de data e de hora relativos e específicos, incluindo a restrição da saída do relatório a um horário comercial definido pelo usuário. O seletor de objetos do cabeçalho de parâmetro inteligente oferece uma pesquisa para simplificar a tarefa de indicar objetos para relatórios. Nos relatórios de agendamento, o seletor de datas flexível elimina a necessidade de modificação de arquivos de definição de relatórios para atingir um intervalo de datas específico em relatórios recorrentes (consulte a Figura 6).
Figura 6 Configurando o horário comercial
Figura 6 Configurando o horário comercial
Outro aperfeiçoamento de relatórios visa garantir que os relatórios sejam processados com rapidez, mesmo quando executados em intervalos de datas extensos. Para esse fim, os dados de relatórios do Operations Manager são automaticamente pré-indexados e agregados em pontos de dados resumidos por dia ou por hora, usados em todos os relatórios do Operations Manager. Além de deixar os dados já compilados, isso aprimora a escalabilidade do data warehouse, já que os pontos de dados brutos podem ser compactados no banco de dados de forma mais agressiva e sem causar impacto sobre o recurso de criar relatórios históricos.
De longe, os aperfeiçoamentos mais impressionantes envolvem o conteúdo e os recursos dos próprios relatórios processados, que apresentam dados históricos de disponibilidade e de desempenho em um formato relevante aos engenheiros de rede e aos gerentes de TI.
AFigura 7 mostra um relatório de desempenho padrão, que consiste em um gráfico com uma tabela. Ambas as linhas do gráfico e as descrições da tabela oferecem links para um relatório detalhado, como mostra a Figure 8.
Figura 7 Relatório de desempenho padrão
Figura 7 Relatório de desempenho padrão
Figura 8 Relatório de desempenho padrão (detalhado)
Figura 8 Relatório de desempenho padrão (detalhado)
Os relatórios de disponibilidade do Operations Manager 2007 se baseiam no estado do objeto. Qualquer objeto que possuir um estado pode ser alvo de um relatório de disponibilidade prontos. Você pode mudar do relatório detalhado para um relatório de disponibilidade em um único clique (consulte a Figura 9).
Figura 9 Relatório de disponibilidade
Figura 9 Relatório de disponibilidade
Para pacotes de gerenciamento sem relatórios, existem relatórios genéricos que acomodarão a criação de relatórios de disponibilidade e de desempenho de quase todos os objetos gerenciados, reduzindo bastante a necessidade de criação de relatórios personalizados.
Os administradores ficarão contentes em saber que o Operations Manager 2007 oferece suporte a vários grupos de gerenciamento que enviam relatórios para um único data warehouse. A segurança dos relatórios é integrada à segurança baseada em função do produto, permitindo que os administradores controlem o acesso aos relatórios por meio dos grupos de segurança do Active Directory.

Notificação
O mecanismo de Notificação passou por uma reestruturação completa no Operations Manager 2007, surgindo com recursos novos, que têm sido pedidos pelos administradores, incluindo as opções de notificação adicionais (chamadas de canais de notificação) como mensagens instantâneas e SMS (requer que um provedor de SMS de terceiros seja instalado no servidor de gerenciamento). As assinaturas de notificação agora incluem uma opção de delimitação para que os administradores possam limitar a visibilidade de tipos de objetos e de grupos disponíveis para as funções de operador e visem as assinaturas de notificação com mais precisão.
A duração de alertas (escalonamento) permite que a notificação seja enviada quando um alerta que atenda aos critérios definidos na assinatura permaneça em um determinado estado de resolução por um período de tempo definido pelo usuário.
Os formatos de mensagem agora podem ser personalizados por assinatura, permitindo que a personalização do formato de mensagens seja feito até o nível de usuário individual. Além disso, a notificação de auto-atendimento do painel Meu Espaço de Trabalho do Console de Operações permite que os usuários definam as configurações de seu dispositivo de notificação e da assinatura. Esses são apenas alguns dos recursos de notificação extremamente convenientes que você encontrará.

Pacotes de gerenciamento
Os pacotes de gerenciamento ainda representam a estrutura base do monitoramento de serviços e de aplicativos no Operations Manager 2007, oferecendo conhecimento sobre o aplicativo diretamente para as equipes de produto da Microsoft. No entanto, elas variam do monitoramento de servidor ao monitoramento orientado a serviço — se concentrando na integridade do serviço que está sendo prestado.
O espaço disponível para esta coluna nos impede de entrarmos em detalhes, mas você deve observar que o modelo de tipo de objeto simples do MOM 2005 (computadores e grupos de computadores) foi renovado como um modelo extensível, com dúzias de tipos de objetos monitorados que podem ser servir de destino. O resultado final é um valioso ambiente de desenvolvimento para que fornecedores independentes de software possam entregar produtos de linha de negócios, de rede e de plataforma de negócios excelentes.
Regras de monitoramento simples, similares às disponíveis no MOM 2005, são usadas para uma variedade de tarefas de monitoramento comuns, como o monitoramento do Log de Eventos e de texto, consultas de eventos WMI, scripts com execução programada e um provedor de interceptação SNMP amplamente aperfeiçoado e que elimina a necessidade de compilação de informações de gerenciamento SNMP.
No entanto, no Operations Manager, há monitores que detectam a alteração do estado de objetos gerenciados. Os monitores incluem muitas funções que não existiam nos provedores do MOM 2005, como a verificação de portas TCP, transações sintéticas para conectividade de banco de dados e de site, monitoramento de aplicativo ASP.NET e de Web service e, talvez a mais importante delas, o monitoramento orientado a serviço para aplicativos de linha de negócios distribuídos. Falarei sobre isso com mais detalhes em instantes.

Limites de ajuste automático
Em algumas ocasiões, o comportamento de um determinado contador não é conhecido. Para essas situações, o Operations Manager oferece os monitores de limite de ajuste automático. Um monitor de ajuste automático utiliza um processo de aprendizado durante o ciclo do negócio definido (normalmente de uma semana, mas talvez tão curto como um dia) para determinar os valores normais para um determinado objeto de contador de desempenho e definir limites com base nas normas operacionais gravadas durante o período de aprendizado. Esses limites representam a atividade esperada, incluindo quedas ou picos repentinos na utilização do recurso, como pode acontecer durante a manutenção noturna do aplicativo e do sistema.

Transações sintéticas
Para obter um quadro mais dinâmico da integridade do aplicativo, o Operations Manager oferece as transações sintéticas, ações executadas em tempo real em objetos monitorados. As transações sintéticas podem ser criadas para seqüências de navegação em sites, conectividade de banco de dados e monitoramento de portas TCP. Você pode especificar os nós do servidor em que as transações serão executadas (chamados de nós observadores), assim como o intervalo de monitoramento desejado. Se vários nós observadores forem escolhidos, os resultados poderão ser comparados para determinarmos se a experiência de cada nó é igual.
O Editor de Aplicativo da Web usado na captura de seqüências do navegador da Web também permite que administradores definam limites de tempo para respostas em nível de erro e aviso, assim como especifiquem a coleção de contadores de desempenho para operações individuais em um carregamento de página e recuperação de link. As seqüências de navegador seguras (SSL) que exigem uma variedade de métodos de autenticação (como o Básico ou o NTLM) são suportadas.
As substituições, um conceito conhecido no MOM 2005, são usadas no ajuste da configuração do Operations Manager para monitores, atributos e regras para um objeto ou grupo de objetos gerenciados (consulte a Figura 10). O uso de substituições é a chave para o controle da quantidade de dados coletados pelo Operations Manager. Você pode usar grupos e substituições juntos para restringir o foco do monitor, regra, atributo ou descoberta de objeto a um grupo de objetos de destino não só em seus próprios pacotes de gerenciamento, mas nos da Microsoft e nos de fornecedores independentes de software.
Figura 10 Substitua parâmetros para um monitor de serviços
Figura 10 Substitua parâmetros para um monitor de serviços

Monitoramento de aplicativos de linha de negócios
O novo DAD (Distributed Application Designer) permite que você crie uma imagem de nível de serviço de aplicativos críticos e então gere um indicador de integridade resumido dos componentes de aplicativos distribuídos. Isso inclui qualquer tipo de objeto descoberto, como um Web service, um banco de dados do SQL Server™ e até mesmo dispositivos que não pertençam ao Windows, com roteadores e switches de rede. Os relacionamentos entre objetos e o estado de integridade atual poderão ser vistos em um diagrama.
Para tornar esse poderoso recurso mais acessível, a Microsoft oferece vários modelos de aplicativo distribuído para oferecer aos administradores um ponto de partida para a definição de seus próprios aplicativos de linha de negócios. Há modelos para vários cenários comuns disponíveis, incluindo aplicativos ASP.NET e Web service ASP.NET, aplicativo para Web de linha de negócios, mensagens, fábrica de portais do SharePoint® e fábrica de Serviços de Terminal.
Novos modelos podem ser adicionados ao Grupo de Gerenciamento por meio de pacotes de gerenciamento da Microsoft ou de terceiros e aparecerão no Add Monitoring Wizard (Assistente para adição de monitoramento). Os monitores de aplicativos distribuídos para Active Directory, Exchange e Operations Manager estão previamente implantados e não podem ser editados.

Disponibilidade do pacote de gerenciamento
Os pacotes de gerenciamento escritos especificamente para o Operations Manager 2007 (chamados de pacotes de gerenciamento otimizados) foram criados para aproveitarem os novos recursos desse software e estarão disponíveis em novas versões a partir de 2008. No entanto, os pacotes de gerenciamento que existem no MOM 2005 podem ser convertidos para um formato amigável ao Operations Manager 2007 por meio do utilitário MPConvert ou podem ser transferidos de uma instalação do MOM 2005 existente por meio da ferramenta de migração MOM 2005-to-Operations; ambas as ferramentas podem ser encontradas no CD do Operations Manager 2007. Na verdade, a Microsoft está convertendo os pacotes de gerenciamento do MOM 2005 para um formato compatível com o Operations Manager 2007 e, portanto, isso geralmente só será necessário para pacotes de gerenciamento feitos em casa.

Coleta de auditoria
A coleta de auditoria oferece a solução para automatizar a coleta e o arquivamento centralizados dos Logs de Eventos da Segurança do Windows distribuídos. Ela foi criada para empresas médias e grandes que necessitam da coleta e da análise de um volume grande dados de Log de Eventos de Segurança para auditoria de conformidade interna e externa. A coleta de auditoria consiste em quatro funções: o Coletor, os Encaminhadores, a função de banco de dados e a função de relatórios. O Coletor é o servidor que "apanha" os eventos e os insere no banco de dados da coleta de auditoria. O Encaminhador é um serviço que envia eventos do Log de Eventos de Segurança quase que em tempo real, minimizando a probabilidade dos administradores locais interferirem nesses eventos. O serviço Encaminhador foi incluído no agente do Operations Manager 2007, mas fica desabilitado até que a coleta de auditoria seja habilitada para um determinado agente.
A auditoria de coleta emprega a manutenção noturna do banco de dados automática, garantindo um bom desempenho de processamento de relatórios em conjuntos de dados grandes. A coleta de auditoria mantém um conjunto de dados ininterrupto (por padrão, armazenado por 14 dias) que pode ser ajustado pelos administradores para que atenda aos seus requisitos organizacionais. Para a análise dos eventos coletados, a coleta de auditoria inclui uma função de relatórios, incluindo um conjunto base de cerca de 20 relatórios de auditoria, assim como um assinante WMI de alto desempenho, para oferecer uma interface fácil para consultas ad hoc sem a necessidade de conceder acesso direto ao banco de dados para os administradores.

Monitoramento de clientes
Os novos recursos de monitoramento de clientes do Operations Manager 2007 permite que os administradores acompanhem os sistemas operacionais e os aplicativos dos desktops para ajudá-los a determinar os erros que acontecem com mais freqüência e assim fazer com que os esforços sejam direcionados para atingirem a melhor vantagem para a organização. Os dados de erros coletados são usados na produção de modos de exibição e de relatórios detalhados, oferecendo ao administrador uma fonte de informações imediata que facilitará suas decisões de suporte.
Na verdade, o monitoramento de clientes do Operations Manager consiste em três níveis que podem ser habilitados individualmente:
Monitoramento de Exceções sem Agente (AEM) Permite que o administrador monitore sistemas operacionais e aplicativos para encontrar falhas e erros. O administrador pode direcionar esses relatórios que anteriormente iam direto para a Microsoft para um Servidor de Gerenciamento, onde eles poderão ser encaminhados para a Microsoft, caso esse seja o seu desejo.
Programa de Aperfeiçoamento da Experiência do Usuário (CEIP) Quando você participa do CEIP, configura os clientes com Diretiva de Grupo para redirecionarem os relatórios para um Servidor de Gerenciamento do Operations Manager 2007 em vez de enviar os relatórios diretamente para a Microsoft. Então, os Servidores de Gerenciamento são configurados para encaminharem esses relatórios para a Microsoft.
É importante observar que os componentes de monitoramento de clientes AEM e CEIP podem ser executados sem agentes.
Monitoramento de clientes para estações de trabalho críticas para os negócios Na verdade, envolve a implantação de um agente do Operations Manager em desktops críticos para os negócios. Os pacotes de gerenciamento incluem esses agentes para Windows 2000, Windows XP e Windows Vista, e o Microsoft Information Worker, que monitora o Microsoft Office, o Internet Explorer e outros aplicativos de desktop da Microsoft.

Experimente
Como você pode ver, o System Center Operations Manager 2007 oferece muitos recursos criados para fornecerem monitoramento orientado a serviços com integração em todos os locais corretos, permitindo que você aproveite os investimentos feitos no Active Directory, a administração simplificada e a redução do custo total de propriedade. Eu recomendo que você experimente essa nova versão e explore suas possibilidades.
É possível baixar uma cópia de avaliação do Operations Manager 2007 do site microsoft.com/technet/opsmgr/2007/downloads/trials/privacy.mspx. Para obter mais informações sobre as tecnologias do Microsoft System Center, visite a home page do System Center Operations Manager, microsoft.com/systemcenter/opsmgr. Veja os casos de sucesso do System Center (vídeos e estudos de caso) no novo site "Criado para ser GRANDE", designedforbig.com.

Pete Zerger é parceiro de consultoria da AKOS Technology Services. Tem nove anos de experiência no setor de TI e se concentra no design e na implantação de gerenciamento de operações empresariais, serviços de diretório e soluções de mensagens. Possui um MCSE em Sistemas de mensagens, um MCTS para o SQL Server 2005 e é MVP da Microsoft para o Microsoft Operations Manager.


 System Center: Migrando do MOM para o Operations Manager 2007
System Center Andy Dominey

Migrando do MOM para o Operations Manager 2007
Visão geral:
  • Planejando uma implantação do Operations Manager
  • Avaliando as necessidades de hardware
  • Preservando dados históricos
  • Planos de testes

O monitoramento e o gerenciamento de servidores é uma parte crítica de qualquer infra-estrutura moderna de TI. É de vital importância garantir que a sua infra-estrutura de TI não apenas funcione corretamente, mas também seja adequada para suportar a carga exercida pelos usuários. No entanto, coletar essas informações
não é fácil, e saber o que fazer com elas após obtê-las é uma questão à parte. Felizmente, existe ajuda: o MOM (Microsoft® Operations Manager) torna isso possível há sete anos e sua versão mais recente, o System Center Operations Manager 2007, expande ainda mais essa base.

Por que migrar?
O System Center Operations Manager 2007 oferece vários aprimoramentos significativos em relação à versão anterior, o MOM 2005. A arquitetura básica foi recriada muito aperfeiçoada para permitir o maior reconhecimento, por parte do produto, de aplicativos difundidos por vários dispositivos, além do reconhecimento não apenas dos servidores, mas de todos os componentes de um servidor.
Além disso, o Operations Manager conta com um poderoso mecanismo de agrupamento capaz de agregar dados de alertas, reduzindo muito a quantidade de alertas falsos. Conta ainda com um Health Explorer que ajuda a simplificar o processo de localização e resolução de problemas.
Há limites de ajuste automático e um mecanismo de linha de base que permite controlar facilmente o uso do desempenho no ambiente. O mecanismo de relatórios foi muito aperfeiçoado, oferecendo gráficos de qualidade superior e relatórios detalhados. Veja a Figura 1 para ter uma idéia da apresentação visual dos dados em relatórios.
Figura 1 Relatório de disponibilidade no Operations Manager 2007
Figura 1 Relatório de disponibilidade no Operations Manager 2007
O Operations Manager pode até mesmo ser usado para monitorar desktops, assim como faz com servidores. Eis alguns recursos adicionais oferecidos pelo Operations Manager 2007:
  • Excelente monitoramento da plataforma Windows Server System™
  • Funcionalidades e recursos poderosos para o monitoramento de aplicativos
  • Automação de tarefas comuns
  • Um mecanismo de banco de dados de última geração para facilitar a escalabilidade e o controle em nível empresarial
  • Aprimoramentos de segurança e integração ao Active Directory®
Para obter ainda mais informações sobre os novos recursos disponíveis no System Center Operations Manager 2007, consulte o artigo "Vigie seus servidores com o Operations Manager 2007", de Pete Zerger, nesta edição da TechNet Magazine.

Migrando para o Operations Manager
Antes de planejar sua migração para o Operations Manager 2007, você precisa saber que não há um caminho direto de atualização para o produto. Com as significativas alterações realizadas na arquitetura do Operations Manager, não foi possível mantê-lo suficientemente compatível com as versões anteriores para permitir uma atualização in-loco. Por isso, se estiver executando atualmente o MOM 2000 ou o MOM 2005, você precisará optar por uma das estratégias de migração descritas mais adiante neste artigo.
Contudo, se não estiver executando uma versão anterior do MOM, poderá simplesmente instalar a nova versão do produto. Lembre-se de que você precisará decidir, no início do projeto, se conta com habilidades internas suficientes para executar a instalação ou migração, ou se precisará obter assistência de terceiros. Isso logicamente afetará o custo total do projeto, portanto deve ser levado em conta no início do processo.

Cenários de migração
Para quem não está executando atualmente o MOM, a implantação é direta: consiste em planejar e criar a arquitetura, e então implantar o software. No entanto, se você já utiliza o MOM, a Microsoft oferece suporte a dois cenários de migração: lado a lado no mesmo hardware e lado a lado em um hardware diferente. Vamos analisar as duas formas.
Lado a lado no mesmo hardware Nesse cenário, você instala o Operations Manager no mesmo hardware físico da arquitetura MOM 2000 ou MOM 2005 já existente. Essa abordagem é útil para locais onde a infra-estrutura do MOM não é utilizada intensamente e onde o hardware de servidor é suficientemente poderoso para co-hospedar as versões nova e antiga. Você só deve avaliar o uso esse caminho se a instalação do Operations Manager não afetar seriamente o desempenho dos servidores MOM atuais.
Lado a lado em um hardware diferente Nesse caso, a nova instalação é realizada em um hardware novo ou diferente. Essa é a abordagem preferencial, pois garante que haverá pouco impacto sobre a infra-estrutura de gerenciamento atual durante a realização da migração. Vale a pena observar que a existência de hardware adicional não é obrigatória. Os novos servidores do Operations Manager 2007 podem ser preparados em máquinas virtuais até que o hardware de servidor antigo seja realocado.

Considerações
Antes de se comprometer com uma estratégia específica de migração, há alguns pontos importantes que devem ser levados em conta.
Em primeiro lugar, você precisa pensar nos requisitos de hardware e software e nos custos associados. Mesmo que decida preparar ou provisionar uma parte ou toda a infra-estrutura do Operations Manager em máquinas virtuais, você ainda precisará permitir que as licenças do sistema operacional e dos aplicativos, bem como as OMLs (licenças de gerenciamento de operações) de cada agente, sejam monitoradas pelo Operations Manager.
Em segundo lugar, você precisa planejar a obtenção de recursos para realizar a tarefa. Em uma pequena empresa, talvez isso não seja um planejamento especialmente complexo ou difícil. No entanto, em empresas maiores, será uma parte fundamental da estratégia de migração como um todo.
Você também terá de levar em conta o impacto potencial da migração sobre a infra-estrutura atual de monitoramento ou o estado dos servidores como um todo. É preciso planejar qualquer eventualidade, inclusive a possibilidade de reinicializações de servidores, ou mesmo de falhas em servidores críticos de produção.
Observe que, se você está usando o banco de dados Microsoft Access™ no MOM 2000 ou o data warehouse SQL Server™ no MOM 2005 para o armazenamento e a geração de relatórios de dados de arquivo morto, atualmente não há suporte para a migração desses dados para o Operations Manager 2007.

Planejando uma migração bem-sucedida
Como consultor, um dos maiores problemas que encontro é um planejamento inadequado da implantação. Por isso, quando você decidir se fará a instalação em hardware novo ou já existente, o próximo passo será criar um plano de projeto.
Seu plano deve relacionar os estágios do projeto sugeridos neste artigo — embora a lista apresentada aqui não esgote o assunto. Certifique-se de alocar tempo suficiente para cada estágio do projeto e de levar em conta todos os recursos necessários.
Como já mencionei, o System Center Operations Manager 2007 tem uma arquitetura consideravelmente diferente daquela encontrada no MOM 2000 e 2005. Para começar, há uma função adicional de servidor no Operations Manager, o RMS (Servidor de Gerenciamento Raiz). O RMS gerencia a configuração do Grupo de Gerenciamento, manipula todas as conexões com outros Grupos de Gerenciamento e com produtos de terceiros, sendo também responsável pela segurança no Grupo de Gerenciamento. Essa função pode ser mantida em um Servidor de Gerenciamento do System Center Operations Manager já existente. Contudo, em ambientes grandes e complexos, deve ter um servidor físico próprio. Além disso, o conceito de Grupos de Gerenciamento em camadas existente no MOM 2005 foi substituído pelos Grupos de Gerenciamento Conectados. Nessa nova arquitetura, nenhum dado de alerta é realmente transmitido entre os Grupos de Gerenciamento. Em vez disso, alertas dos Grupos de Gerenciamento Conectados são simplesmente apresentados na interface do usuário do Grupo de Gerenciamento solicitante. E ainda, se estiver pensando em instalar agentes em computadores pertencentes a domínios ou grupos de trabalho não confiáveis, você precisará usar certificados para permitir que o agente e o Servidor de Gerenciamento se autentiquem mutuamente (um recurso forçado no Operations Manager).
Para criar a arquitetura do System Center Operations Manager, você precisará levar em conta o número de servidores e clientes que planeja monitorar, se estão localizados em um domínio confiável, que aplicativos e plataformas precisam ser monitorados e se você deseja monitorar a infra-estrutura de rede. Também é preciso identificar os aplicativos que exigirão regras personalizadas ou pacotes de gerenciamento.
Neste estágio, você deverá identificar a necessidade de pacotes de gerenciamento. Depois de determinar que aplicativos serão monitorados, você poderá decidir que pacotes de gerenciamento irá instalar. Os pacotes de gerenciamento contêm regras, monitores, tarefas e classes aplicáveis a um aplicativo ou sistema operacional específico, e devem ser importados se o aplicativo ou sistema operacional associado estiver em uso no ambiente. A escolha dos pacotes de gerenciamento neste estágio afetará os requisitos de hardware e software e o tempo que precisará ser alocado para instalar e configurar o software.
Quando já tiver uma idéia da arquitetura da sua infra-estrutura do Operations Manager, você deverá partir para a ferramenta System Center Capacity Planner 2007 (em versão beta até o momento em que escrevo). Use a ferramenta para mapear sua infra-estrutura de rede e de servidores e para simular a execução da implantação planejada do Operations Manager, verificando se é suficiente para monitorar e gerenciar sua infra-estrutura.
É neste momento que você deve também prestar atenção especial ao design da arquitetura, se planeja fazer a migração. É preciso levar em conta o fato de que o MOM 200x será executado juntamente com o Operations Manager, resultando em tráfego de rede adicional.

Implantação
A implantação é o próximo estágio a planejar. Você precisa garantir que o hardware adequado seja provisionado antes de instalar o software. Se fizer a instalação em um novo ambiente, o hardware físico será melhor, especialmente para o servidor de banco de dados. No entanto, os Servidores de Gerenciamento podem ser virtualizados, caso não haja a opção do hardware físico. Em um cenário de migração, o uso de servidores virtualizados é uma boa alternativa à aquisição de hardware para preparar a nova infra-estrutura. Nessa situação, você pode usar máquinas virtuais para preparar o Operations Manager enquanto os servidores antigos do MOM são descomissionados e recriados.
Quando os servidores forem provisionados, você poderá começar a instalar o software. Primeiro, verifique se os servidores que executarão o Operations Manager têm os pré-requisitos de software necessários para oferecer suporte a ele. Por exemplo, se estiver executando o SQL Server 2000 e planejar instalar o Operations Manager no mesmo servidor, primeiro você precisará fazer a atualização para o SQL Server 2005 com SP1. Para verificar isso, você pode executar a verificação de pré-requisitos do Operations Manager a partir da mídia de instalação do System Center Operations Manager.
Quando todos os pré-requisitos de software estiverem presentes, o SQL Server e o Reporting Services configurados, você poderá começar a instalar o software do Operations Manager. Em um ambiente de um único servidor, isso é fácil. Basta executar o arquivo de instalação do Operations Manager no servidor e, depois, executar a instalação de relatórios do Operations Manager, se quiser usar esse recurso. Contudo, em um ambiente distribuído, os componentes do Operations Manager precisam ser instalados nos servidores individuais, na ordem correta. Instale primeiro o banco de dados, depois o primeiro Servidor de Gerenciamento, ao qual será atribuída automaticamente a função de Servidor de Gerenciamento Raiz. Depois, poderão ser instalados os Servidores de Gerenciamento adicionais. A última etapa consiste em instalar o console Web e os componentes de relatório.

Migração
Neste estágio, você deve verificar se a nova infra-estrutura espelha o monitoramento existente, antes de tentar aproveitar os novos recursos. Os pacotes de gerenciamento usados no ambiente herdado devem ser duplicados na nova implantação do Operations Manager. Se houver um pacote de gerenciamento do Operations Manager disponível, talvez você queira importá-lo, mas os pacotes de gerenciamento que não tiverem versões mais recentes precisarão ser exportados a partir do Grupo de Gerenciamento atual, convertidos usando a ferramenta MPConvert do CD de instalação e importados para o Operations Manager — a não ser que você tenha um pacote de gerenciamento personalizado pequeno ou simples; nesse caso, será melhor simplesmente recriá-lo. Há também uma ferramenta útil para duplicar a configuração. A ferramenta de migração do MOM 2005 para o Operations Manager ajuda a duplicar a configuração de um Grupo de Gerenciamento do MOM existente para o Operations Manager; você também a encontrará no CD de instalação do Operations Manager. A Figura 2 mostra uma configuração típica durante a migração.
Figura 2 Configuração típica durante a migração
Figura 2 Configuração típica durante a migração
Quando a sua configuração estiver duplicada, você precisará garantir que, com o Operations Manager, está recebendo os mesmos alertas e coletando os mesmos dados do MOM. Felizmente, o agente do Operations Manager pode coexistir com agentes herdados do MOM, sendo possível executar os dois agentes simultaneamente. Você pode coletar dados dos dois e compará-los lado a lado, verificando a precisão, antes de descomissionar o sistema herdado.
Em seguida, você deve formular um plano de testes. Os testes podem consistir simplesmente em comparar os alertas do sistema herdado com aqueles do sistema Operations Manager, mas podem também exigir a geração intencional de alertas, a fim de avaliar minuciosamente a nova infra-estrutura. Quando estiver satisfeito com os resultados dos testes, você poderá começar a desinstalar os agentes herdados do MOM, usando o console do MOM ou o recurso Adicionar ou Remover Programas nos computadores dos agentes.
Os relatórios são uma parte importante da implantação do MOM e do System Center Operations Manager e também devem ser levados em conta. O banco de dados SystemCenterReporting existente não pode, no momento, ser migrado para o Operations Manager 2007. Então, você pode criar uma nova instância do Reporting Services para o Operations Manager e manter o banco de dados existente do MOM 2005 (SystemCenterReporting) em uma instância dedicada do SQL Reporting Services para exibir os relatórios herdados. O novo console de relatórios do System Center Operations Manager 2007 é integrado ao produto. Por isso, não é recomendável usar o console dos Reporting Services para fins diferentes dos relacionados ao Operations Manager. A migração de dados de relatórios é um assunto a ser tratado no futuro, por meio de um script de migração de dados. Enquanto isso, talvez você precise dizer adeus aos seus dados de relatórios arquivados e simplesmente consolar-se com o fato de que, quando você começar a gerar relatórios novos em folha, a gerência ficará tão empolgada que nem perceberá o desaparecimento dos dados antigos.

Conclusão
O System Center Operations Manager oferece aprimoramentos consideráveis em relação ao MOM 2000 e 2005, mas esses avanços têm um preço. As alterações importantes na arquitetura subjacente (e, como resultado, a ausência de um caminho direto de atualização in-loco) resultam em custos de implantação possivelmente mais altos. A chave para minimizar esses custos consiste em planejar adequadamente e garantir a presença dos profissionais certos para a tarefa. Fazendo isso, você aproveitará os benefícios gerados pelo trabalho árduo da Microsoft no System Center Operations Manager.

Andy Domineyatua no setor de TI há oito anos e atualmente trabalha na 1E, no Reino Unido, como especialista em gerenciamento do Windows. Ele trabalha com o MOM desde o MOM 2000. Andy recebeu o prêmio Microsoft MVP dos dois últimos anos para o MOM.


 System Center: Virtualize seus aplicativos com o Microsoft SoftGrid
System Center Ahmer Sabri and Kedar Shah

Virtualize seus aplicativos com o Microsoft SoftGrid
Visão geral:
  • Benefícios da virtualização de aplicativos
  • Visão geral da arquitetura do SoftGrid
  • Transmitindo pacotes de software

O conceito da virtualização de software, de certa forma, existe desde os anos 60. Entretanto, o setor de TI levou décadas para começar a descobrir seu potencial
. Agora, as pessoas estão compreendendo, e grandes avanços estão sendo feitos.
A Microsoft mostrou a importância que dá à virtualização de aplicativos quando adquiriu a Softricity em julho de 2006. Dessa aquisição nasceu o Microsoft® SoftGrid, uma solução para a virtualização de aplicativos. Com o SoftGrid, os aplicativos são atendidos a partir de um datacenter ou outro local de rede e executados localmente nos clientes remotos em um ambiente virtual. Os aplicativos virtualizados são executados em silos e funcionam de forma independente do sistema operacional e de outros aplicativos da área de trabalho local.
Há vários benefícios ao implementar a virtualização de aplicativos com o SoftGrid, tantos que nem cabe falar aqui. No entanto, os benefícios mais notáveis e que podem ser percebidos imediatamente são os seguintes:
Regressão simplificada e testes de compatibilidade Ao executar várias versões do mesmo aplicativo em paralelo em um único computador sem conflitos, é possível reduzir drasticamente a complexidade, o tempo e os custos associados aos testes e à implantação de novos aplicativos (consulte a Figura 1).
Figura 1 Simplificando a implantação de aplicativos com o SoftGrid
Figura 1 Simplificando a implantação de aplicativos com o SoftGrid
Gerenciamento de sistemas facilitado O departamento de TI tem grande controle sobre o ambiente no qual esses aplicativos são executados, facilitando a manutenção do ambiente ideal de área de trabalho.
Menos chamadas ao suporte técnico Com ambientes de área de trabalho melhor gerenciados e menos conflitos (graças aos aplicativos virtualizados que são executados em um silo controlado), os usuários fazem menos chamadas ao suporte técnico.
Segurança de área de trabalho aprimorada Os aplicativos nunca são instalados no sistema operacional, melhorando sua segurança geral. Eles são provisionados apenas para usuários autorizados, evitando assim o acesso não autorizado. E a maioria dos aplicativos é processada sob o contexto de segurança padrão.
Liberdade de preferências As preferências de usuário (perfil e outras configurações) são armazenadas na rede, permitindo aos usuários acessar seus aplicativos, suas preferências e seus controles em qualquer PC.
Tolerância a falhas e recuperação de desastres melhorados Os aplicativos são transformados em arquivos de dados que podem ser armazenados e replicados como qualquer dado da empresa. Os aplicativos e suas atualizações podem ser sincronizados automaticamente entre sites ativos e de BCP (programa de cópia em massa) usando ferramentas de terceiros, habilitando acesso instantâneo a aplicativos no caso de um desastre.
Finalmente, essas características facilitam a administração de sistemas, reduzem custos e permitem que sua organização adote novas tecnologias com mais rapidez e confiança. Agora, vejamos mais atentamente como o SoftGrid funciona.

Como os aplicativos virtualizados são atendidos
A arquitetura do SoftGrid é composta de diversos componentes que trabalham juntos em harmonia. Ela envolve componentes do SoftGrid como armazenamento de dados, servidor virtual de aplicativos, seqüenciador, consoles de gerenciamento, Web Service de gerenciamento e aplicativo cliente, trabalhando ao lado de componentes de infra-estrutura padrão, como o Active Directory® (consulte a Figura 2). Apresentaremos uma visão geral da arquitetura do SoftGrid e explicaremos como os diversos componentes funcionam juntos.
Figura 2 Arquitetura geral do SoftGrid
Figura 2 Arquitetura geral do SoftGrid
O armazenamento de dados do SoftGrid funciona como um repositório central para o ambiente de virtualização inteiro. Instalado tanto no SQL Server™ (versão 2000 ou 2005) como no MSDE (Microsoft SQL Server Desktop Engine), o armazenamento de dados mantém registros, aplicativos, configurações, dados de licenciamento, informações de relatórios e de conexão.
Os aplicativos virtualizados são atendidos no computador do usuário e processados em um cliente. O SoftGrid oferece dois tipos de cliente: a virtualização de aplicativos Microsoft SoftGrid para desktops universais e a virtualização de aplicativos Microsoft SoftGrid para serviços de terminal. Cada abordagem possui vantagens, mas também desvantagens de desempenho, que descreveremos na seção Configurando o cliente.
Um dos componentes mais críticos no ambiente do SoftGrid é o SVAS (Servidor virtual de aplicativos do SoftGrid). Ele é usado a fim de manipular as solicitações de usuário para aplicativos e transmitir os dados de aplicativo aos usuários por demanda.
O SVAS é executado como um serviço do Windows® chamado servidor virtual de aplicativos do Microsoft System Center e possui requisitos de hardware bastante modestos. Por padrão, todos os dados de aplicativos em si (que logo discutiremos) estão localizados no diretório \Program Files\Softricity\SoftGrid Server\content.
A experiência típica do SoftGrid é iniciada quando um usuário se conecta a uma estação de trabalho. O SoftGrid Client captura o token de segurança do usuário e a associação de grupo de domínio, e passa essas informações por meio de um canal de segurança para o SVAS. O SVAS atribui o acesso de usuário aos aplicativos, desde que o SID (identificador de segurança) exista no diretório de associação de grupo do aplicativo, e um atalho para cada aplicativo é colocado na área de trabalho do usuário (ou em qualquer outro local que o administrador definir, como o menu Iniciar, a barra de inicialização rápida e outros).
A entrega real de um aplicativo, em geral, é iniciada quando um usuário clica no ícone de atalho, que é associado ao arquivo .osd (Open Software Description). Esse arquivo é baseado em XML e contém informações sobre o pacote de aplicativos. O cliente recupera o nome do servidor virtual de aplicativos do arquivo .osd e inicia uma conexão. Nesse momento, o SVAS autentica o cliente e contata o armazenamento de dados para determinar a conformidade da licença. Assim que o usuário é autenticado, o SVAS transmite os dados de aplicativo ao cliente em blocos de dados; por padrão, os blocos de dados são de 32 KB, mas podem ser configurados no momento do seqüenciamento.
Observe que o aplicativo inteiro não é transmitido ao cliente. Em vez disso, o SoftGrid transmite apenas a parte do aplicativo que é imediatamente necessária para iniciá-lo no cliente. Isso, em geral, significa de 20% a 40% do código total, embora, certamente, possa variar conforme o aplicativo. Por exemplo, o Microsoft Word 2003 requer que apenas 15 MB de dados sejam transmitidos ao cliente para poder ser iniciado, comparados aos 800 MB de tamanho total do pacote. Se o usuário acessar uma parte do aplicativo que ainda não esteja no cache do cliente, o código necessário será transmitido ao cliente. Para evitar o horário de pico da segunda-feira, no qual um excesso de solicitações simultâneas obstrui a rede, as organizações podem optar por colocar previamente no cache da área de trabalho dos usuários os aplicativos comuns.

Active Directory
O SoftGrid conta com os usuários e grupos de domínio do Active Directory (ou Windows NT® 4.0) para provisionar aplicativos aos usuários autorizados. Em um ambiente de vários domínios, os usuários podem ser provisionados usando as associações de grupo apropriadas (o SoftGrid oferece suporte a associações de grupo locais, globais e universais) e relações de confiança com o domínio no qual o SVAS está instalado.
Ao instalar o SVAS, são solicitados diferentes grupos de contas de serviço, que ajudarão na integração com o Active Directory e serão usados posteriormente para fins administrativos. Assim, há três grupos e contas que devem ser criados antes da instalação: uma conta Navegador do SoftGrid, um grupo Administradores do SoftGrid e um grupo Usuários do SoftGrid.
A conta Navegador do SoftGrid é responsável pela navegação no Active Directory e, portanto, requer direitos somente leitura para todos os seus domínios em um ambiente de vários domínios. O grupo Administradores do SoftGrid é usado para conceder acesso administrativo ao console de gerenciamento do SoftGrid e ao Web Service de gerenciamento do SoftGrid. E o grupo Usuários do SoftGrid é usado para atribuir a diretiva de provedor padrão, usada para dar a todos os usuários no domínio acesso aos aplicativos publicados no console de gerenciamento.

O ambiente virtual
O SystemGuard é a parte central do SoftGrid Client executada na área de trabalho local. Ele é responsável por fornecer um ambiente virtual funcional para aplicativos executados isoladamente. Dentro desse ambiente de silo estão os componentes virtualizados do sistema operacional — registro, arquivos, fontes, INI, COM, serviços incorporados e variáveis de ambiente — necessários para que o aplicativo seja executado de forma apropriada (consulte a Figura 3).
Figura 3 Ambiente virtualizado para o aplicativo ser executado isoladamente
Figura 3 Ambiente virtualizado para o aplicativo ser executado isoladamente
O SystemGuard cria chaves de registro virtualizadas para cada aplicativo que executa. Essas chaves não são acessíveis a outros aplicativos executados no sistema operacional local, nem são visíveis para as ferramentas de edição do registro, como o regedit. As leituras e gravações do registro são redirecionadas para as chaves virtuais, conforme necessário. Observe, porém, que os aplicativos virtualizados têm permissão para passar pelo registro local a fim de obter informações não contidas nas chaves de registro virtualizadas.
Da mesma forma, o SystemGuard cria um sistema de arquivos virtualizados e redireciona a maioria das leituras e gravações de aplicativo para ele. Esse sistema de arquivos virtualizados é isolado e fornece o ambiente necessário para executar várias versões do mesmo aplicativo em um único cliente.
É necessário ressaltar, no entanto, que, embora os aplicativos fiquem isolados do sistema operacional local, o usuário ainda tem acesso aos serviços locais, como impressão, recortar e colar e unidades de rede.

Empacotando aplicativos
Agora você deve estar imaginando como é possível criar um ambiente funcional totalmente independente para executar o aplicativo virtualizado. Para essa tarefa, use o seqüenciador do SoftGrid. Essa ferramenta baseada em assistente permite empacotar aplicativos em um ambiente virtual que pode ser entregue e executado no cliente.
O processo de seqüenciamento envolve três etapas: instalação, configuração e teste e execução. Na primeira etapa, Instalação, o Seqüenciador do SoftGrid usa um processo de vigilância ativa para monitorar a instalação do aplicativo e suas dependências de acesso. Depois de concluída, a fase Configuração e Teste é usada para fazer as alterações necessárias à configuração padrão, a fim de garantir a experiência desejada na primeira execução. Finalmente, na fase Execução, o Seqüenciador do SoftGrid compila e ordena o bloco de códigos necessário para iniciar o aplicativo. O FB1 (bloco de recursos 1) é o código essencial necessário para iniciar o aplicativo, permitindo ao usuário executar o aplicativo sem baixar o pacote inteiro.
Assim que um aplicativo é seqüenciado, quatro arquivos são criados: um arquivo de aplicativo habilitado para virtualização (.sft), um arquivo Open Software Description (.osd), um arquivo de ícone (.ico) e um arquivo de projeto (.sprj). Esses arquivos são copiados para o diretório de conteúdo do SVAS. Como opção, um administrador pode publicar os arquivos .ico e .osd para os clientes usando um servidor HTTP.
Embora o SoftGrid, normalmente, provisione aplicativos para serem executados de forma independente em ambientes isolados, o SystemGuard permite certa interação entre aplicativos. Você deve examinar cuidadosamente quaisquer dependências que os aplicativos possam ter entre si e seqüenciá-los em conjunto, caso dependam dessa interação. Esse processo é normalmente chamado de adequação. Observe que nem todos os aplicativos que requerem interação podem ser seqüenciados em conjunto. A adequação é um processo bastante complicado e deve ser feito somente depois de um exame cuidadoso das dependências, pois, às vezes, o seqüenciamento de dois ou mais aplicativos pode anular a finalidade da virtualização.

Simplificando a administração
O console de gerenciamento do SoftGrid fornece uma única ferramenta para executar todas as tarefas administrativas. Ele é instalado no SVAS por padrão e pode ser instalado em outro servidor ou estação de trabalho. É um snap-in do MMC 3.0 e usa o Web Service de gerenciamento do SoftGrid para se conectar ao Armazenamento de dados do SoftGrid; consulte a Figura 4), fornecendo aos administradores autorizados acesso completo aos dados armazenados no banco de dados para fins de gerenciamento. A conexão entre o console de gerenciamento e o Web Service de gerenciamento do SoftGrid usa o Microsoft .NET Framework remotamente, tornando possível instalá-los no mesmo servidor ou em servidores diferentes. A Figura 2 ilustra como essas partes diferentes se encaixam e fornecem acesso a toda a implementação do SoftGrid. Observe que grandes organizações devem executar mais de uma instância do Web Service de gerenciamento do SoftGrid.
Figura 4 O Web Service de gerenciamento do SoftGrid fornece a conexão ao armazenamento de dados
Figura 4 O Web Service de gerenciamento do SoftGrid fornece a conexão ao armazenamento de dados
O Web Service de gerenciamento do SoftGrid é executado no Windows 2000 ou posterior com o IIS 5.0 ou posterior. O .NET Framework 2.0 ou posterior é necessário, assim como o MDAC (Microsoft Data Access Components) 2.7 ou posterior para conectividade de armazenamento de dados.
O console de gerenciamento fornece uma única ferramenta administrativa a partir da qual os aplicativos podem ser publicados, encerrados etc. As tarefas são organizadas em nove categorias ou contêineres principais, como mostra a Figura 5.
Figura 5 Gerenciando o SoftGrid a partir de um único console de gerenciamento
Figura 5 Gerenciando o SoftGrid a partir de um único console de gerenciamento
Veja um breve resumo dos tipos de tarefas de gerenciamento encontradas em cada contêiner. No contêiner Aplicativos, o administrador pode executar tarefas como importar arquivos .sprj para fazer novas publicações, especificar o local do .osd, remover aplicativos etc. Por padrão, esse contêiner inclui um pacote publicado que pode ser usado para testar a conectividade do cliente com o servidor de aplicativos.
Uma associação de tipo de arquivo é criada quando os aplicativos são seqüenciados. Assim que o pacote é importado, as associações de tipo de arquivo se tornam disponíveis no console de gerenciamento. O contêiner Associação de tipo de arquivo fornece um único local para os administradores modificarem todas as associações de tipo de arquivo.
O contêiner Pacotes controla versões de pacotes para atualizações ativas; trata-se de atualizações que podem ser feitas sem que o usuário se desconecte ou que o servidor seja desligado. O administrador também pode excluir um pacote do console de gerenciamento usando esse contêiner. Observe que a exclusão de um pacote do contêiner Pacotes removerá o arquivo .sft do console de gerenciamento, e o armazenamento de dados não o excluirá do diretório de conteúdo do servidor de aplicativos.
Conforme mencionei anteriormente, quando um usuário inicia um aplicativo, o SoftGrid Client verifica a disponibilidade de licença e o inicia somente se houver uma licença disponível em um armazenamento de dados. O contêiner Licenças de aplicativos é o local em que os administradores podem associar as licenças com os aplicativos — há suporte para licenças ilimitadas, concorrentes e nomeadas.
Grupos de servidores contém um agrupamento lógico de servidores de virtualização de aplicativos e informações de conexão. Os administradores podem adicionar novos grupos de servidores ou modificar propriedades (como portas usadas para comunicação ou memória alocada e processos) de um grupo existente.
No contêiner Diretivas de provedor, o administrador pode criar um conjunto de regras chamadas de diretivas. As diretivas de provedor personalizadas são usadas a fim de dar acesso aos usuários para vários aplicativos sob diferentes conjuntos de condições. Você pode usar o contêiner Autoridades de conta para especificar um domínio e as credenciais que serão usadas quando o SoftGrid precisar de acesso para ler as informações do diretório do domínio. Administradores do SoftGrid contém os grupos de usuários responsáveis por administrar o ambiente do SoftGrid. Nesse contêiner, os administradores podem adicionar ou remover grupos para controlar as permissões de acesso.
Finalmente, o contêiner Relatórios, como o próprio nome sugere, permite aos administradores gerar relatórios para verificar a integridade geral do ambiente do SoftGrid. Os seguintes relatórios estão disponíveis: Utilização de aplicativos, Auditoria de software, Utilização do sistema, Atividade do usuário/grupo e Erro do sistema.

Configurando o cliente
O SoftGrid Client é instalado no sistema operacional do computador por meio do qual o usuário acessará o aplicativo virtualizado. Conforme mencionado anteriormente, há suporte para dois tipos de cliente: Microsoft SoftGrid for Desktops ou Microsoft SoftGrid for Terminal Services. Cada abordagem possui vantagens, mas também algumas desvantagens de desempenho, em termos de latência de rede, consolidação de farm de servidores e facilidade de gerenciamento.
Em uma implementação de desktop, os aplicativos estão disponíveis localmente e há pouca dependência quanto à disponibilidade de rede e taxa de transferência. Essa abordagem é recomendada, por exemplo, para organizações que possuem filiais com infra-estruturas de TI limitadas. Os Serviços de Terminal são uma boa opção para uma organização que já distribuiu servidores de terminal. Esse cenário faz uso eficiente de hardware e software, reduzindo drasticamente o número de servidores necessários. E, é claro, permite um ambiente com verdadeira liberdade de preferências. As grandes organizações normalmente possuem uma combinação de infra-estrutura de desktop e servidor de terminal. A instalação e configuração dos diversos componentes são semelhantes nas duas abordagens ao configurar uma implantação do SoftGrid.
O cliente pode ser implantado usando qualquer método padrão, como instalação manual ou implantação automatizada com uma ferramenta como o Systems Management Server 2003. A Figura 6 lista os requisitos mínimos de hardware e software para instalar os clientes.
Figure 6 Requisitos de sistema para os clientes do SoftGrid (Close Figure 6)

Cliente | Processador | Memória | Espaço em disco | Sistema operacional
Microsoft SoftGrid for Terminal Services | P III 850 MHz | 1 GB de RAM (mínimo de 256 MB, dependendo do número de usuários e aplicativos) | 12 MB para instalação e 4096 MB de cache | • Windows 2000 Server ou Advanced Server com os Serviços de Terminal habilitados • Windows Server 2003 com os Serviços de Terminal habilitados
Microsoft SoftGrid for Desktops | P III 600 MHz | 128 MB | 12 MB para instalação e 2048 MB de cache | • Windows 2000 Professional ou Windows XP • Windows 2000 Server ou Windows Server 2003
Embora a instalação do cliente seja simples, há algumas propriedades que devem ser fornecidas no momento da instalação, como local da instalação, tamanho do cache, letra da unidade a ser usada como unidade virtual, local dos arquivos de dados de aplicativos etc. Depois que o cliente é instalado, algumas configurações adicionais podem ser especificadas ou alteradas usando o console de gerenciamento.
Para iniciar o console de gerenciamento de cliente, vá para o painel de controle e inicie o gerenciamento do SoftGrid Client em Ferramentas administrativas. Você pode optar por se conectar ao computador local ou a um computador remoto.
A Figura 7 mostra que o console de gerenciamento de cliente consiste em um contêiner raiz e três contêineres filho. Na guia raiz localhost do SoftGrid, você pode especificar a maioria dos parâmetros funcionais, incluindo diretório de conexão, diretório de dados de aplicativos, configurações de exibição e execução de cliente, freqüência de pop-ups de mensagens de informações e de erro, tamanho máximo do cache, unidade virtualizada, opções de conectividade e de rede, quando desconectado do servidor SoftGrid, e permissões.
Figura 7 Console de gerenciamento de cliente
Figura 7 Console de gerenciamento de cliente
Você pode exibir e alterar os aplicativos no contêiner Applications. O contêiner Aplicativos fornece as informações de status sobre o aplicativo local, tais como se o aplicativo está sendo executado, se ele está bloqueado no cache e qual a porcentagem dele (arquivo .sft) que está sendo transmitida ao cache local.
O contêiner Associação de tipo de arquivo permite exibir, alterar e remover uma associação de tipo de arquivo. Para obter mais detalhes, consulte a discussão sobre associação de tipo de arquivo na seção anterior.
O contêiner Configuração de desktop permite especificar, alterar e atualizar manualmente as configurações do servidor de aplicativos especificadas durante a instalação. Nele, você também pode selecionar se a atualização do cliente deve acontecer no momento do logon do usuário (essa é a seleção padrão) e a duração do intervalo de atualização automática.

Conclusão
A virtualização de aplicativos com o Microsoft SoftGrid oferece uma maneira interessante de melhorar a confiabilidade do sistema e simplificar o gerenciamento. Embora exija que várias partes trabalhem em conjunto, a arquitetura realmente se encaixa perfeitamente à infra-estrutura de TI.
O Microsoft SoftGrid for Desktops está disponível para clientes do Software Assurance como parte do Microsoft Desktop Optimization Pack. Para obter mais informações, consulte windowsvista.com/optimizeddesktop. O Microsoft SoftGrid for Terminal Services está disponível como uma licença de acesso a cliente autônomo para clientes corporativos sob contratos de Licenciamento por Volume da Microsoft. Para baixar uma versão de avaliação, faça logon na sua conta de Licenciamento por Volume em https://licensing.microsoft.com e selecione Desktop Optimization Pack for SA em Downloads de Produtos.

Ahmer Sabri é especialista técnico do Grupo de Serviços Financeiros da Microsoft. Ahmer pode ser contatado pelo email ahmers@microsoft.com.
Kedar Shah é especialista técnico do Grupo de Serviços Financeiros da Microsoft. Kedar pode ser contatado pelo email kedars@microsoft.com.


 Do editor: Din&#226;mico e otimizado
Do editor
Dinâmico e otimizado
Joshua Trupin

Provavelmente, nos próximos meses, você ouvirá falar de duas estratégias de TI da Microsoft: Dynamic Systems e Infrastructure Optimization. Essas duas iniciativas o ajudarão a realizar com mais sucesso seu trabalho relacionado à TI agora, além de prepará-lo para enfrentar os desafios do futuro.
A Dynamic Systems Initiative define uma estrutura para ferramentas e aplicativos que combina quatro áreas principais de inovação técnica, ajudando a orientar as futuras abordagens de TI. Para obter um ambiente dinâmico, sua infra-estrutura e seu software devem ser unificados e virtualizados, orientados por processos e controlados por modelos, habilitados para serviços e focalizados nos usuários.
No entanto, a criação de um ambiente dinâmico de TI não se limita a produtos da Microsoft. Sua empresa pode destinar mais investimentos à criação de vantagens competitivas com a TI, em vez de simplesmente tentar gerenciar a crescente complexidade. Ao utilizar modelos de Infrastructure Optimization para avaliar o direcionamento dos seus negócios nos próximos dois anos, você pode, ao mesmo tempo, extrair o máximo dos seus sistemas atuais e planejar um futuro mais dinâmico.
Sob um ponto de vista amplo, o ciclo de vida de TI de uma empresa se enquadra em um de quatro estágios. Básico: “nós combatemos incêndios”. Padronizado: “estamos ganhando controle”. Racionalizado: “nós capacitamos o negócio”. Dinâmico: “somos um ativo estratégico”. Cada um desses estágios é abordado em detalhes em microsoft.com/io. Você pode usar a orientação fornecida para analisar sua infra-estrutura e planejar o futuro. Aplicando os conceitos de Dynamic Systems, é possível transformar sua organização de TI em um ativo fundamental para a empresa.
Quando sua organização alcançar o estágio Dinâmico, seus sistemas de TI serão ativos comerciais estratégicos e autogerenciados. Finalmente, o Paraíso da TI! A melhor forma de avançar, passando de um estágio a outro, na sua busca pela TI Dinâmica, é com a família System Center de soluções de gerenciamento de TI. O System Center fornece ferramentas de configuração, aplicativos de implantação, um gerenciador de operações e muito mais — englobando o ciclo de vida completo de TI, que consiste em planejamento, implantação e manutenção.
E, logicamente, a TechNet Magazine pode ajudá-lo com um impulso inicial. Esta edição se concentra no conjunto de soluções System Center. Há, para começar, visões gerais amplas de dois componentes essenciais: o System Center Configuration Manager 2007 e o System Center Operations Manager 2007. Analisamos também implantação e operações, abordando inclusive como gerenciar filiais com sucesso.
Em que nível está sua infra-estrutura? Visite nosso blog em blogs.technet.com/tnmag e conte-nos onde acha que a TI Dinâmica o levará. — Joshua Trupin

Joshua Trupin


 Toolbox: Novos produtos para profissionais de TI
Toolbox
Novos produtos para profissionais de TI
Greg Steen

Gerenciar dados de configuração de inicialização
VistaBootPRO
www.vistabootpro.org
Todo profissional de TI que conheço possui, pelo menos, dois computadores com inicialização múltipla. Atualmente, esses sistemas incluem uma instância do Windows Vista® ou do Windows Server® 2008, antigamente chamado de "Longhorn". Se você estiver executando um sistema de inicialização múltipla com um desses sistemas operacionais, talvez queira conhecer o VistaBootPRO da PROnetworks.
Como, provavelmente, você deve saber, a partir do Windows Vista, a Microsoft alterou a forma como a configuração de inicialização é gerenciada. Em vez de usar um arquivo de texto legível como o Boot.ini, agora existe o armazenamento BCD (Dados de Configuração da Inicialização). Ele fornece uma abordagem mais segura, independente de firmware, para gerenciar os detalhes do ambiente de inicialização. Há três maneiras básicas de examinar e modificar o BCD. A primeira é usar MSConfig, que fornece acesso básico para ler, modificar e reordenar as entradas no BCD. Os administradores de sistema provavelmente devem estar mais familiarizados com a segunda opção, que é usar a ferramenta de linha de comando BCDEdit. Com ela, é possível criar um novo armazenamento BCD, modificar os existentes e importar, ou exportar, armazenamentos para arquivo morto e reutilização. A terceira opção é gerenciar o BCD programaticamente, usando a API da WMI (Instrumentação de Gerenciamento do Windows®).
Os três métodos dão conta do recado, mas nenhum é particularmente amigável. É aí que entra o VistaBootPRO, com uma GUI amigável para modificar a configuração de inicialização do computador que executa o Windows Vista. A ferramenta permite renomear facilmente as entradas do sistema operacional, adicionar novas entradas, alterar a unidade de inicialização e configurar as opções de tempo limite com apenas um ou dois cliques. Além disso, o VistaBootPRO permite selecionar uma entrada de sistema operacional e definir parâmetros de inicialização, como limitar as CPUs disponíveis no sistema, habilitar ou desabilitar a Prevenção de Execução de Dados para entradas do Windows Vista ou do Windows Server 2008, reduzir a memória física disponível para o sistema e executar o processo de inicialização no modo de depuração.
Antes de realizar qualquer alteração no seu BCD usando essa ferramenta, faça backup do armazenamento atual caso alguma coisa saia errada. O aplicativo avisará se você não tiver feito um backup e fornecerá uma maneira fácil de exportar a configuração atual. E, é claro, o VistaBootPRO permite restaurar as configurações de backup.
Enfim, o VistaBootPRO é um aplicativo bem-acabado e simples de usar para gerenciar o BCD. E o melhor de tudo: é gratuito.

Preço: gratuito.
Figura vistabootpro

Monitorar serviços e dispositivos
NetGong
netgong.tsarfin.com
Ah, as ferramentas de monitoramento. Nunca me canso delas. Se você está no mercado para obter um novo serviço de rede e monitor de dispositivos, ou apenas para brincar com ferramentas de monitoramento, precisa conhecer o NetGong.
O aplicativo é executado na bandeja do sistema e iniciado junto com o Windows. Um simples clique com o botão direito do mouse no ícone fornece uma opção para iniciar ou parar rapidamente o monitoramento. Ao clicar duas vezes no ícone, é exibida a interface do usuário de configuração principal na qual é possível configurar, revisar e ver os eventos dos hosts monitorados.
A configuração de um monitor de host é simples. Basta inserir o host, a porta TCP a ser monitorada, o intervalo no qual os testes deverão ser conduzidos e o tipo de alerta que você deseja receber. Também é possível adicionar uma descrição significativa e modificar as configurações do protocolo ICMP padrão, como tempo limite, tamanho do pacote e número de repetições. Por padrão, o NetGong exige que o host monitorado responda às solicitações do ICMP, mas você também pode substituir essa opção com uma marca de seleção para hosts silenciosos que não aceitam solicitações do ICMP na rede.
O aplicativo fornece quatro categorias de alerta: sons, email, mensagens e arquivo. Para sons, você pode especificar o arquivo WAV que deseja usar. Para mensagens, é possível definir uma mensagem de texto, forçá-la a ser a janela superior e escolher se a janela será fechada automática ou manualmente. Os alertas de email permitem especificar um servidor SMTP e os detalhes da mensagem a ser enviada. E a opção de alerta de arquivo permite usar um executável (ou arquivo de lote) com parâmetros configuráveis, modo de janela e diretório de inicialização. Para cada tipo de alerta, você pode configurar uma programação que define quando enviar o primeiro alerta, o número máximo de alertas a serem enviados e o intervalo de falha (número de falhas) entre os alertas. Também é possível optar por ser notificado na recuperação do serviço.
O NetGong também mantém arquivos de log dos resultados. Você pode escolher registrar os eventos em um log de eventos, arquivo de texto ou em uma página HTML criada dinamicamente. O aplicativo permite exibir resultados de monitoramento nas páginas atendidas por meio de sua escuta do servidor Web interno em uma porta especificada pelo usuário. E você pode enviar um parâmetro de cadeia de caracteres de consulta com um intervalo de atualização para que a página da Web seja atualizada com os últimos detalhes de evento de monitoramento.

Preço: US$ 79,95 direto por computador (licença corporativa), US$ 59,95 direto por computador (licença acadêmica), US$ 39,95 direto por computador (licença doméstica).
Figura steen.toolbox.netgong

Revisão do livro
Windows PowerShell: TFM
www.sapienpress.com
Sem dúvida, você já ouviu falar do Windows PowerShell™. É o assunto do momento. A TechNet Magazine inclusive possui uma coluna dedicada a ele (que, a propósito, é escrita por um dos autores desse livro). Mas você realmente se aprofundou a respeito dele?
O Windows PowerShell pode ser uma ferramenta de produtividade e automação extremamente eficiente quando se sabe como usá-la. Se você é apenas um aprendiz na arte de fazer scripts ou um ninja em VBScript que deseja expandir com esse novo conjunto de ferramentas de linha de comando e linguagem de script voltada para administradores, o livro Windows PowerShell: TFM, de Don Jones e Jeffery Hicks, é uma ótima maneira de começar. Esse livro bastante acessível é equipado para o administrador de sistema e cumpre bem a tarefa de abordar o que será útil para a maioria dos administradores.
A primeira seção do livro apresenta o ambiente do Windows PowerShell, abordando os parâmetros que todos os cmdlets possuem em comum e os princípios básicos da sintaxe e da semântica da linguagem de script. Os conceitos de redirecionamento, pipeline de execução, funções, variáveis e execução de vários shells também são apresentados. Como o Windows PowerShell se baseia no Microsoft® .NET Framework, herda as vantagens do código gerenciado (observe que o Windows PowerShell requer o .NET Framework 2.0 ou posterior). Assim, o livro também fornece algum esclarecimento sobre os princípios do Framework, desde o contexto de segurança dentro dos quais os scripts são executados até os conceitos de reflexão, assemblies e classes.
Depois de explicar como vincular o Windows PowerShell ao WMI, os autores discutem em detalhes a estrutura da linguagem de script do Windows PowerShell, fornecendo exemplos que ajudam a entender a função dos objetos e de suas propriedades e seus métodos associados. Você também verá como usar os diferentes tipos de operadores, desde operadores aritméticos básicos até operadores de comparação de lógica bit a bit, bem como poderosas expressões comuns para analisar cadeias de caracteres em itens como endereços IP e nomes de controladores de domínio. É uma base especialmente útil para qualquer pessoa que deseje dominar o Windows PowerShell.
Os capítulos sobre gerenciamento do Windows e script de banco de dados demonstram alguns recursos radicais que o Windows PowerShell tem a oferecer. Você verá como trabalhar com logs de eventos, processos, o registro, o sistema de arquivos e os serviços de diretório, bem como se conectar a consultas e executá-las nos bancos de dados.
Outras seções abordam saída e formatação de dados, como tornar os scripts modulares, manipulação de erros e depuração. Os autores inclusive oferecem um conjunto sugerido de melhores práticas para scripts do Windows PowerShell que incluem convenções de nomenclatura, inclusão de comentários no código e o uso de alinhamento para torná-lo mais legível.
Sem dúvida, você vai querer ter esse livro à mão para acessar facilmente o material dos apêndices; um deles, por exemplo, faz referência a todos os 133 cmdlets do Windows PowerShell, enquanto que outro apresenta os tipos mais comumente usados (além das propriedades e dos métodos associados a eles). Além de fornecerem uma rápida visão de como usar um cmdlet específico, essas referências oferecem uma apresentação instantânea do grande potencial dos recursos que o Windows PowerShell oferece.

Preço: US$ 49,99 em catálogo.

Teste seus cabos
Testador de cabo de rede compacto SMARTest
www.hobbes-usa.com
Cabos aqui, cabos ali, cabos para todo lado! A maioria dos profissionais de TI está rodeada de cabos CAT5. Vários cabos CAT5: centenas de fios, com milhares de metros de comprimento. E se você é responsável por esses cabos, um bom testador, fácil de carregar, não é apenas útil, mas essencial. Por isso, talvez você se interesse pelo testador de cabo de rede compacto SMARTest da Hobbes.
O dispositivo SMARTest é um testador de cabo no formato de caneta. É compatível com os cabos de rede CAT 3, 4, 5, 5e e 6, e pode ajudar a detectar problemas comuns de conexão de cabo. Especificamente, é possível detectar problemas de fios inadequados, invertidos, trocados, partidos e aterrados em um cabo.
O dispositivo funciona com quatro pequenas baterias como as de relógio de pulso, de forma que os cabos não precisam estar conectados para serem testados; também não é necessário conectar o SMARTest em uma conexão de rede ativa. Para testar um cabo, você deve, simplesmente, conectar uma das extremidades à unidade principal e a outra à unidade remota destacável. A unidade do SMARTest possui uma interface com soquete RJ45 e conectores de tomada (fêmea e macho), para que você possa testar qualquer tipo de configuração de cabos. Você pode até usar o dispositivo SMARTest para verificar as conexões ou painéis de portas e tomadas de parede.
Outro recurso interessante é que o dispositivo possui uma geração de toques internos para que você possa enviar um sinal de áudio através do cabo que está testando. Então, o sinal é captado por um detector de sinais compatível, como o Cable Tracer Probe também disponível pela Hobbes.
O SMARTest com geração de toques custa entre US$ 80 e US$ 90, conforme a loja. Também existe um adaptador de conector F para testar cabos co-axiais.

Preço: US$ 99,99 em catálogo.
Figura steen.toolbox.smartest

Greg Steen é profissional de tecnologia, empresário e entusiasta. Ele está sempre buscando novos métodos e ferramentas para facilitar as operações e o desenvolvimento para os profissionais de TI.


 P&amp;R do SQL: Localizando bloqueios, consultas grandes, estat&#237;sticas de E/S e muito mais
P&R do SQL
Localizando bloqueios, consultas grandes, estatísticas de E/S e muito mais
Editado por Nancy Michell
Faça download do código deste artigo: SQLQandA2007_08.exe (151KB)

P Preciso exibir os nomes dos objetos em todos os bancos de dados que possuem bloqueios. Como posso fazer isso?

R No SQL Server™ 2000, você pode consultar a tabela do sistema syslocks em Master ou executar sp_lock para obter as informações de bloqueio atuais, desta forma:
SELECT * FROM master..syslocks
EXEC sp_lock
Entretanto, digamos que você queira traduzir o objeto real NAMES do ObjID a partir do OUTPUT do procedimento armazenado sp_lock (ou da coluna de identificação em master..syslocks).
No SQL Server 2005 SP1 e anteriores, a função OBJECT_NAME permitia passar apenas um parâmetro: object_id. Então, para obter o nome de objeto adequadamente, era necessário trabalhar no banco de dados CURRENT antes de executar OBJECT_NAME. Isso dificultava o monitoramento dos bloqueios atuais, pois era necessário escrever o código personalizado para fazer o loop em cada banco de dados e obter o OBJECT_NAME correto.
USE DBNAME
SELECT OBJECT_NAME(object_id)
O SQL Server 2005 SP2 melhorou isso, adicionando um segundo parâmetro, database_id. Esse novo parâmetro permite consultar nomes de objetos, independentemente do banco de dados CURRENT ao qual você está conectado.
OBJECT_NAME ( object_id [, database_id ] )
Agora, é possível consultar sys.dm_tran_locks e recuperar o nome de objeto para cada banco de dados, desta forma:
SELECT
DB_NAME(resource_database_id),
OBJECT_NAME(resource_associated_entity_id, resource_database_id)
FROM sys.dm_tran_locks
WHERE resource_type='OBJECT'
Observe, porém, que isso funciona apenas no SQL Server 2005 SP2 e posterior. Se você executar isso em uma versão anterior ao SQL Server 2005, obterá este erro:
Msg 174, Level 15, State 1, Line 1
The object_name function requires 1 argument(s).
Outro exemplo mostrado na Figura 1, associa sessões sys.dm_exec_para obter informações sobre os SPIDS (IDs de processo de serviço) envolvidos nos bloqueios. Para obter mais informações, consulte os Manuais Online do SQL Server em technet.microsoft.com/library/ms130214(sql.90).aspx.
Figure 1 Localizando identificadores de processo do servidor (Close Figure 1)
SELECT
DB_NAME(resource_database_id) as DBName,
OBJECT_NAME(resource_associated_entity_id, resource_database_id) AS ObjectName,
request_mode,
request_type,
request_session_id,
es.host_name,
es.login_name,
es.login_time
FROM
sys.dm_tran_locks tl
INNER JOIN sys.dm_exec_sessions es
ON tl.request_session_id=es.session_id
WHERE resource_type='OBJECT'

P Tenho uma grande consulta SQL dinâmica que, às vezes, parece exceder o tamanho de NVARCHAR(max). Existe alguma maneira de evitar isso, mas que permita a execução de uma grande cadeia de caracteres?

R Se você está excedendo o tamanho de NVARCHAR(max), então tem uma consulta de 2 GB! Provavelmente, você terá de converter todas as cadeias de caracteres concatenadas com NVARCHAR(max) também. Entretanto, uma opção mais conveniente, que também tem a vantagem de ser eficiente em versões anteriores ao SQL Server 2005, é concatenar várias cadeias de caracteres pequenas. Por exemplo:
DECLARE @q1 NVARCHAR(4000), @q2 NVARCHAR(4000), @q3 NVARCHAR(4000)
SET @q1 = 'SELECT...'
SET @q2 = 'FROM...'
SET @q3 = 'WHERE...'
EXEC (@q1 + @q2 + @q3)
DICA: usando a cláusula OUTPUT
Agora, é possível auditar alterações feitas usando declarações DML (Data Manipulation Language) sem empregar qualquer disparador. O SQL Server 2005 introduziu uma cláusula OUTPU como parte das declarações DML que podem ajudar a controlar as alterações feitas durante uma operação DML. A cláusula OUTPUT pode salvar resultset em uma tabela ou variável de tabela.
A funcionalidade é semelhante àquela que os disparadores tinham com as tabelas INSERTED e DELETED, que costumava acessar as linhas modificadas durante a operação DML. Para ver como isso funciona, vamos alterar o endereço da tabela de endereços para o inverso do valor original, conforme mostrado na figura a seguir. Você também pode usar a lógica mostrada neste código para controlar as alterações feitas nos dados e armazená-las em uma tabela.
A saída da consulta ficará parecida com o seguinte:
Original Value:'1234 One Microsoft Way, Redmond, Wa.' has been changed to: '.aW,dnomdeR
,yaW tfosorciM enO 4321'

Alterando um endereço
--Create the address table
Create Table Address (ProductID Int, SupplierID Int, Address Varchar(255))

--Insert data
Insert into Address Values (234,567,'1234 One Microsoft Way, Redmond, Wa.')

--Declare a table variable
Declare @Recordchanges table (change Varchar(255))

--Update the address
Update Supplier.Address
Set Address=reverse(address)

--Record the updates into the table variable
OUTPUT 'Original Value:' + DELETED.Address+' has been changed to: '+ INSERTED.Address+''
into @RecordChanges

--Query the changes from table variable
Select * from @RecordChanges

P Tenho de fazer uma instalação de cluster indispensável do SQL Server 2005 no Windows Server® 2003. O MS DTC (Microsoft® Distributed Transaction Coordinator) foi colocado em cluster no mesmo grupo que o Quorum de cluster, mas está usando um recurso de disco dedicado (o MS DTC está compartilhando o mesmo nome de rede e endereço IP do Grupo de clusters de quorum ). Quero alinhar essa configuração com as melhores práticas da Microsoft. Por isso, preciso de um conselho sobre mover o MS DTC para um grupo de clusters dedicado. Eu poderia remover os serviços do MS DTC usando a ferramenta Cluster Admin e recriá-los em um grupo dedicado?

R Como você já possui um recurso de disco dedicado para o MS DTC, pode simplesmente remover o recurso e criá-lo em um novo grupo. Você terá de criar um novo nome de rede e um endereço IP virtual no novo grupo também.
Como opção, você pode criar o novo nome de rede e endereço IP no grupo de clusters, e alterar as dependências para os novos recursos. Depois, arraste o MS DTC para um novo grupo, que ele levará consigo o disco dedicado e os novos recursos.

P Preciso exibir as estatísticas de E/S nos arquivos físicos de um banco de dados. O que devo usar?

R A função de sistema fn_virtualfilestats, disponível no SQL Server 2000 e no SQL Server 2005, ou sys.dm_io_virtual_file_stats (somente no SQL Server 2005) permite fazer exatamente isso. A função retorna informações estatísticas coletadas desde a última vez em que a instância do SQL Server foi iniciada. Resultados de exemplo são mostrados na Figura 2.
Figure 2 Exibindo estatísticas de E/S em um banco de dados (Close Figure 2)

DbId | FileId | TimeStamp | NumberReads | NumberWrites | BytesRead | BytesWritten | IoStallMS
20 | 1 | 250765718 | 381 | 0 | 3350528 | 0 | 951
20 | 2 | 250765718 | 12 | 8 | 409600 | 491520 | 0
20 | 3 | 250765718 | 5 | 0 | 40960 | 0 | 16
A compreensão do impacto de E/S nos arquivos de dados subjacentes pode ajudar a planejar melhor coisas como o local físico dos arquivos e grupos de arquivos em volumes de dados, a detecção de possíveis afunilamentos de E/S, a execução da manutenção do banco de dados em nível de arquivo e outras tarefas desse tipo. Essa função é especialmente útil para examinar o impacto de E/S em grandes bancos de dados, nos quais é possível ter vários arquivos e grupos de arquivos.
A consulta para exibir as informações de E/S do arquivo no SQL Server 2000 tem a seguinte aparência:
SELECT *
FROM ::fn_virtualfilestats(default,default)
GO
Para exibir um databaseID específico, passe a identificação para o banco de dados, desta maneira:
SELECT *
FROM ::fn_virtualfilestats(7,default)
GO
Veja o código do SQL Server 2005 que mostra as estatísticas de arquivos para todos os bancos de dados no servidor:
SELECT *
FROM ::fn_virtualfilestats(NULL,NULL)
GO
A seguinte consulta retorna estatísticas de arquivos apenas para o banco de dados atual:
SELECT *
FROM ::fn_virtualfilestats(NULL,NULL)
WHERE DBID=db_id()
GO
No SQL Server 2005, também existe uma nova função de sistema chamada sys.dm_io_virtual_file_stats, cuja finalidade é substituir a função herdada fn_virtualfilestats:
sys.dm_io_virtual_file_stats(
{ database_id | NULL },
{ file_id | NULL }
)
Veja como usá-la:
SELECT * FROM sys.dm_io_virtual_file_stats(NULL,NULL)
.

P Preciso encontrar uma maneira fácil de ver se uma transação de exclusão acionou um disparador. Você tem alguma idéia de como posso obter essas informações?

R Ao lidar com disparadores que manipulam as ações de excluir, inserir e atualizar, as pessoas costumam usar várias técnicas diferentes para determinar se um disparador foi acionado por uma transação de exclusão. Um método comum é comparar as contagens das tabelas virtuais inseridas e excluídas para ver se são correspondentes. Entretanto, existe um método mais simples: você pode usar a função Columns_Updated.
Isso porque, quando um disparador é acionado por uma transação de exclusão, Columns_Updated sempre retorna o valor varbinary 0x. A seguinte verificação analisará se o disparador foi acionado por uma exclusão:
IF Columns_Updated() = 0x
DICA: inicializando arquivos de dados e de log
Você sabia que os arquivos de dados e de log são inicializados para substituir quaisquer dados existentes no disco de arquivos excluídos anteriormente? Primeiro, os arquivos de dados e de log são inicializados, preenchendo os arquivos com zeros ao criar um banco de dados, adicionar arquivos, de log ou dados, a um banco de dados existente, aumentar o tamanho de um arquivo existente (incluindo operações de crescimento automático) ou restaurar um grupo de arquivos ou banco de dados. A inicialização do arquivo torna essas operações mais demoradas. Entretanto, quando os dados são escritos nos arquivos pela primeira vez, o sistema operacional não precisa preenchê-los com zero.
No SQL Server 2005, os arquivos de dados podem ser inicializados instantaneamente. Esse recurso permite a rápida execução das operações de arquivo mencionadas anteriormente. A inicialização instantânea de arquivo recupera o espaço em disco usado sem preenchê-lo com zeros. Em vez disso, o conteúdo do disco é substituído quando os dados novos são gravados nos arquivos. Os arquivos de log não podem ser inicializados instantaneamente. A inicialização de arquivo instantânea está disponível apenas para o Windows XP Professional e o Windows Server 2003 ou versões posteriores.
Como o conteúdo excluído do disco é substituído apenas quando novos dados são gravados nos arquivos, ele pode ser acessado por uma entidade não autorizada. Embora o arquivo de banco de dados seja anexado à instância do SQL Server, essa ameaça de divulgação de informações é reduzida pela DACL (lista de controle de acesso discricionário) no arquivo. A DACL permite o acesso ao arquivo somente para a conta de serviço do SQL Server e o administrador local. Entretanto, ao ser desanexado, o arquivo poderá ser acessado por um usuário ou serviço que não tenha SE_MANAGE_VOLUME_NAME. Uma ameaça semelhante acontece ao fazer backup do banco de dados. O conteúdo excluído poderá se tornar disponível para um usuário ou serviço não autorizado se o arquivo de backup não estiver protegido com uma DACL apropriada.
Se a preocupação for com a potencial divulgação do conteúdo excluído, verifique sempre se os arquivos de dados desanexados e os arquivos de backup possuem DACLs restritivas. Além disso, desabilite a inicialização de arquivo instantânea para a instância do SQL Server, revogando SE_MANAGE_VOLUME_NAME da conta de serviço do SQL Server.

Thanks to the following Microsoft IT pros for their technical expertise: Christian Bolton, Dan Carollo, Robert Davis, Jorge Guzman, Saleem Hakani, Ward Pond, Kalyan Yella, and Paolo Zavatarelli.


 Destaque de utilit&#225;rio: BGInfo
Destaque de utilitário
BGInfo
Lance Whitney
Faça download do código deste artigo: BgInfo v4.10 (274KB)

Você está tentando resolver um problema com o PC de um usuário e precisa de informações sobre o computador, como nome, endereço IP, gateway, memória, espaço livre em disco etc. Coletar todos esses dados normalmente exige que você recorra a várias fontes ou faça uma série de perguntas ao usuário. Não seria ótimo se tudo que fosse preciso saber sobre um PC estivesse em um único lugar? E isso é possível, graças a uma ferramenta gratuita da Sysinternals chamada BGInfo.
Criado por Bryce Cogswell, o BGInfo (abreviação de Background Information) consulta uma estação de trabalho ou servidor do Windows® para obter dados, que vão desde estatísticas relacionadas à rede (endereço IP, roteador, nome de domínio, endereço MAC) até informações de hardware e software (nome do computador, memória, versão do sistema operacional e nível de Service Pack). Depois, o programa exibe todos os dados na área de trabalho, como parte do papel de parede, tornando as informações claramente visíveis sem ser importuno (consulte a Figura 1).
Figura 1 O BGInfo exibe as informações do sistema na área de trabalho
Figura 1 O BGInfo exibe as informações do sistema na área de trabalho
Para executar o BGInfo, basta clicar duas vezes no arquivo bginfo.exe; não é necessária a instalação. A tela de configuração é exibida para que você revise e selecione os campos de dados a serem exibidos. Por padrão, o BGInfo revela 24 tipos de informações. Você pode remover qualquer campo que não quiser exibir e adicioná-lo novamente mais tarde, caso mude de idéia. Você também pode inserir outros campos com facilidade. O BGInfo exibirá qualquer variável de ambiente, a maioria dos valores de registro e a saída das consultas do VBScript e do WMI (Windows Management Instrumentation). A interface WMI fornece uma maneira simples de criar consultas, selecionando valores de um menu suspenso. O BGInfo também pode explorar alguns arquivos para exibir suas informações de versão, carimbo de data/hora e conteúdo.
A exibição é totalmente personalizável. Você pode alterar diversos atributos do texto, como alinhamento, fonte, tamanho do ponto e cor. Além disso, você pode mudar a posição dos dados em diferentes partes da área de trabalho e especificar a largura máxima da área de exibição em polegadas. Finalmente, o BGInfo permite adicionar elementos gráficos junto aos dados de texto, para que você possa inserir uma imagem, como o logotipo da sua empresa. Entretanto, se você preferir não exibir todas essas informações na área de trabalho, basta configurar o BGInfo como um ícone na bandeja do sistema. Clique nele e aparecerá a exibição completa.
Depois de selecionar as opções de formatação, você pode clicar no botão Preview (Visualizar) para verificar a exibição antes de aceitá-la e aplicá-la se achar interessante. Você pode executar o BGInfo manualmente em qualquer PC sempre que necessário ou mantê-lo atualizado automaticamente. Para atualizar os dados regularmente, adicione o arquivo BGInfo.exe à pasta de inicialização ou configurá-lo como uma Tarefa Agendada. Depois de personalizar o BGInfo em um computador, provavelmente, você usará as mesmas configurações em outros PCs. Basta salvar as configurações como um arquivo BGI e carregá-las nos outros computadores que executam o programa.
Embora o BGInfo seja executado em um computador por vez, é possível dispará-lo em vários clientes de rede. Você pode inserir o arquivo bginfo.exe em um script de login; o programa fornece várias opções de linha de comando para controlar seu comportamento. Os dados coletados pelo BGInfo também podem ser exportados para um arquivo externo, que pode ser um arquivo de texto, uma planilha do Excel®, um banco de dados do Access™ ou SQL, para que você tenha um recurso acessível de todas as estatísticas dos PCs da rede.
As informações de Ajuda incluídas no BGInfo são detalhadas e fáceis de entender. Ele oferece até mesmo dicas sobre como escrever consultas simples do VBScript e WMI cuja saída pode ser capturada pelo BGInfo. O programa pode ser executado em todas as versões do Windows, desde o Windows 95 até o Windows Vista®. Obtenha mais informações sobre o BGInfo e baixe a ferramenta em microsoft.com/technet/sysinternals/Miscellaneous/BgInfo.mspx.

Lance Whitney é consultor de TI, instrutor e redator técnico. Ele passa incontáveis horas fazendo ajustes em estações de trabalho e servidores do Windows. Anteriormente jornalista, ingressou corajosamente no mundo de TI há 15 anos.


 The Cable Guy: Configura&#231;&#227;o autom&#225;tica de IPv6 no Windows Vista
The Cable Guy
Configuração automática de IPv6 no Windows Vista
Joseph Davies

O IPv6 não se resume apenas a estender o espaço de endereço de 32 bits no IPv4 para 128 bits. Os hosts IPv6 também são capazes de se configurar automaticamente, mesmo sem o uso de um protocolo de configuração de endereço como o DHCPv6 (DHCP para IPv6).
Com base na RFC 2462, todos os nós IPv6 configuram automaticamente um endereço de vínculo local para cada interface. Um host IPv6 também utiliza a descoberta de roteador — uma troca de mensagens de Solicitação de Roteador e Anúncio de Roteador — para determinar endereços adicionais e configurações. Na mensagem de Anúncio de Roteador enviada pelo roteador, estão incluídos os sinalizadores de Configuração de Endereço Gerenciado (M) e Outra Configuração com Monitoração de Estado (O), que indicam se o host deve usar o DHCPv6 para endereços adicionais ou configurações.

Tipos de configuração automática de IPv6
Além do endereço de vínculo local, os hosts podem também usar a configuração automática sem monitoração de estado para definir endereços e outras configurações, com base no recebimento de mensagens de Anúncio de Roteador. Essas mensagens podem incluir uma ou mais opções de Informações de Prefixo, que o host receptor pode usar para derivar endereços sem monitoração de estado.
Da mesma forma, a configuração automática de endereço com monitoração de estado é a definição de endereços e de outras configurações com base no uso do DHCPv6 para obter endereços. Um host usa a configuração automática com monitoração de estado quando recebe uma mensagem de Anúncio de Roteador com o sinalizador M definido como 1.
Por fim, um host pode também usar a configuração automática com e sem monitoração de estado, combinando os endereços incluídos no anúncio de roteador e obtidos a partir de um servidor DHCPv6.

Estados de endereços configurados automaticamente
Quando um endereço configurado automaticamente encontra-se em estado provisório, isso significa que está em processo de verificação de exclusividade por meio da DAD (detecção de endereço duplicado). Consulte a barra lateral "Processo de configuração automática de IPv6 da RFC 2462" para obter informações sobre como é realizada a DAD. Um endereço em estado válido foi verificado como exclusivo e pode ser usado para enviar e receber tráfego unicast. O estado válido inclui os estados preferencial e preterido. No estado preferencial, o endereço pode ser usado para comunicações ilimitadas. No estado preterido, o endereço não deve ser usado para novas comunicações; no entanto, as comunicações existentes que o utilizam podem continuar.
Processo de configuração de IPv6 da RFC 2462
As etapas a seguir descrevem o processo de configuração automática para um host IPv6, conforme definidas na RFC 2462:
  • Derive um endereço de vínculo local provisório com um identificador de interface EUI-64 (identificador exclusivo estendido de 64 bits).
  • Realize a DAD no endereço de vínculo local provisório enviando uma mensagem de Solicitação ao Vizinho, com o Endereço de Destino da mensagem definido como o endereço de vínculo local provisório.
  • Se for recebida uma mensagem de Anúncio de Vizinho, em resposta à mensagem de Solicitação ao Vizinho, o endereço de vínculo local provisório é duplicado. Pare a configuração automática de endereço. Neste ponto, deve ser realizada a configuração manual no host.
  • Se não for recebida nenhuma mensagem de Anúncio de Vizinho (em resposta à mensagem de Solicitação ao Vizinho), o endereço de vínculo local provisório é exclusivo. Altere o estado do endereço na interface para preferencial.
  • Envie uma mensagem de Solicitação de Roteador.
  • Se nenhuma mensagem de Anúncio de Roteador for recebida, use o DHCPv6 para obter endereços e outros parâmetros de configuração.
  • Se for recebida uma mensagem de Anúncio de Roteador, configure os endereços provisórios com os prefixos incluídos e realize uma detecção de endereço duplicado para cada endereço provisório. Se os endereços forem exclusivos, altere o estado na interface para preferencial.
  • Se o sinalizador M na mensagem de Anúncio de Roteador estiver definido como 1, use o DHCPv6 para obter endereços adicionais com monitoração de estado.
  • Se o sinalizador M na mensagem de Anúncio de Roteador estiver definido como 0 e o sinalizador O estiver definido como 1, use o DHCPv6 para obter parâmetros de configuração adicionais.

Um roteador de anúncio no servidor DHCPv6 especifica os tempos de vida válidos e preferenciais para um prefixo de endereço. Um endereço entra no estado preterido quando seu tempo de vida preferencial é excedido. O tempo de vida preferencial de um endereço configurado automaticamente é atualizado com o recebimento de anúncios de roteador ou com a renovação da configuração de endereços DHCPv6. A Figura 1 mostra os estados de um endereço configurado automaticamente e suas relações com os tempos de vida preferencial e válido.
Figura 1 Os estados de um endereço configurado automaticamente
Figura 1 Os estados de um endereço configurado automaticamente
Com exceção da configuração automática para endereços de vínculo local, a configuração automática é especificada somente para hosts IPv6. Os roteadores IPv6 precisam obter parâmetros de endereços e configurações por outros meios, como a configuração manual.
A barra lateral "Processo de configuração de IPv6 da RFC 2462" descreve em detalhes o processo de configuração automática de endereços IPv6 para hosts, conforme definido na RFC 2462.

Comportamento da configuração automática de IPv6 para o Windows Vista
Os computadores executando Windows Vista® ou Windows Server® 2008, anteriormente conhecido pelo codinome "Longhorn", geram por padrão identificações aleatórias de interface para endereços IPv6 não temporários configurados automaticamente, inclusive endereços públicos e de vínculo local, em vez de identificadores de interface baseados em EUI-64. Um endereço IPv6 público é um endereço global registrado no DNS, geralmente usado por aplicativos de servidor para conexões de entrada, como um servidor Web. Você pode desabilitar esse comportamento padrão com o comando:
netsh interface ipv6 set global randomizeidentifiers=disabled
Quando desabilitado, o IPv6 usa identificadores de interface baseados em EUI-64.
Com um identificador de interface derivado aleatoriamente, a possibilidade de duplicação do endereço de vínculo local é muito pequena. Por isso, os computadores executando Windows Vista ou Windows Server 2008 não esperam que a DAD seja concluída para enviar mensagens de Solicitação de Roteador usando os endereços de vínculo local derivados. Isso é conhecido como DAD otimista; a descoberta de roteador e a DAD são realizadas em paralelo para economizar tempo durante o processo de inicialização da interface.
Os computadores executando Windows Vista ou Windows Server 2008 não fazem tentativas de configuração automática de endereços com monitoramento de estado com o DHCPv6 se não forem recebidos anúncios de roteador.
Processo de configuração automática de IPv6 no Windows Vista
As etapas a seguir descrevem o processo de configuração automática para um host IPv6 executando Windows Vista:
  • Derive um endereço de vínculo local provisório para a interface de LAN com um identificador de interface derivado aleatoriamente (a configuração padrão).
  • Realize a DAD para o endereço de vínculo local derivado da interface de LAN (envie uma mensagem de Solicitação ao Vizinho com o campo Endereço de Destino definido como o endereço de vínculo local provisório).
  • Realize a descoberta de roteador na interface de LAN (envie uma mensagem de Solicitação de Roteador a partir do endereço de vínculo local provisório).
  • Se for recebida uma mensagem de Anúncio de Vizinho, em resposta à mensagem de Solicitação ao Vizinho enviada na Etapa 2, marque o endereço de vínculo local como duplicado.
  • Se não for recebida nenhuma mensagem de Anúncio de Vizinho em resposta à mensagem de Solicitação ao Vizinho, altere o estado do endereço de vínculo local na interface de LAN para preferencial.
  • Se nenhum anúncio de roteador for recebido, pare a configuração automática de endereço IPv6 na interface de LAN. Vá para a Etapa 13.
  • Se for recebido um anúncio de roteador, crie endereços públicos provisórios correspondentes aos prefixos de endereços globais ou locais exclusivos na mensagem, com base no identificador aleatório de interface derivado na Etapa 1, e realize a DAD.
  • Crie endereços temporários provisórios correspondentes aos prefixos de endereços globais ou locais exclusivos na mensagem, usando novos identificadores aleatórios de interface derivados aleatoriamente, e realize a DAD.
  • Para cada novo endereço, se não for recebida nenhuma mensagem de Anúncio de Vizinho em resposta à mensagem de Solicitação ao Vizinho, altere o estado do endereço na interface de LAN para preferencial.
  • Se o anúncio de roteador tiver os sinalizadores M e O definidos como 0, pare a configuração automática de IPv6 na interface de LAN. Vá para a Etapa 13.
  • Se o anúncio de roteador tiver o sinalizador M definido como 1, use o DHCPv6 para obter endereços IPv6 com monitoração de estado e configurações adicionais.
  • Se o anúncio de roteador tiver o sinalizador M definido como 0 e o sinalizador O definido como 1, use o DHCPv6 para obter configurações adicionais.
  • Derive endereços ISATAP de vínculo local com base nos endereços IPv4 da interface de LAN e atribua-os à interface de encapsulamento ISATAP.
  • Tente resolver o nome do host "ISATAP" para um endereço IPv4.
  • Se o nome do host "ISATAP" não puder ser resolvido, pare a configuração IPv6.
  • Se o nome do host "ISATAP" for resolvido para um endereço IPv4, envie uma solicitação de roteador com encapsulamento IPv4 para o roteador ISATAP.
  • Se for recebido um anúncio do roteador ISATAP, crie endereços ISATAP adicionais correspondentes aos prefixos de endereços globais ou locais exclusivos anunciados e atribua-os à interface de encapsulamento ISATAP.

Endereços configurados automaticamente para o Windows Vista
Conforme descrito anteriormente, o protocolo IPv6 para Windows Vista e Windows Server 2008 configura automaticamente endereços de vínculo local usando identificadores de interface derivados aleatoriamente para todas as interfaces de LAN.
Se um anúncio de roteador recebido incluir um prefixo global ou local exclusivo, o IPv6 configurará os endereços globais ou locais exclusivos usando o mesmo identificador de interface derivado aleatoriamente e os atribuirá à interface de LAN que recebeu o anúncio de roteador. Esses endereços são conhecidos como endereços públicos.
O IPv6 no Windows Vista configura também, por padrão, endereços globais ou locais exclusivos temporários, usando diferentes identificadores de interface derivados aleatoriamente, e os atribui à interface de LAN que recebeu o anúncio de roteador. Os endereços temporários são definidos na RFC 3041 e usados para fornecer um certo nível de anonimato às comunicações iniciadas pelo cliente. Já o IPv6 no Windows Server 2008 não cria endereços temporários por padrão. Você pode habilitar os endereços temporários usando o comando:
netsh interface ipv6 set privacy-enabled
Se o sinalizador M estiver definido como 1 nas mensagens recebidas de Anúncio de Roteador, o IPv6 usará o DHCPv6 para configurar endereços globais ou locais exclusivos adicionais para a interface de LAN.
O IPv6 cria também uma interface de encapsulamento ISATAP para cada interface de LAN no host. A RFC 4214 descreve a tecnologia de transição para IPv6 ISATAP. Com o ISATAP, os hosts IPv6 podem comunicar-se por uma intranet somente IPv4, encapsulando um pacote IPv6 com um cabeçalho IPv4. Para obter mais informações sobre o ISATAP, consulte "Tecnologias de transição para IPv6".
Para cada interface de encapsulamento ISATAP, o IPv6 configura endereços ISATAP de vínculo local para os endereços IPv4 atribuídos à interface de LAN correspondente. Por exemplo, para a interface de encapsulamento ISATAP correspondente a uma interface de LAN à qual é atribuído o endereço IPv4 192.168.91.211, o IPv6 atribui o endereço ISATAP de vínculo local FE80::0:5EFE:192.168.91.211.
Os hosts ISATAP também realizam a descoberta de roteadores ISATAP. Para receber um anúncio de um roteador ISATAP, o IPv6, por padrão, deve ser capaz de resolver o nome do host "ISATAP" para um endereço IPv4. Isso é feito com métodos de resolução de nome de host baseados no Windows, como o DNS. Depois que o nome é resolvido, o host envia uma solicitação de roteador com encapsulamento IPv4 para o roteador ISATAP. Então, o roteador ISATAP envia um anúncio de roteador com encapsulamento IPv4 para o host. Com base no conteúdo do anúncio de roteador recebido, o IPv6 também configura endereços ISATAP globais ou locais exclusivos nas interfaces de encapsulamento ISATAP.
O Windows Vista também oferece suporte às tecnologias de transição para IPv6 6to4 e Teredo. No entanto, para simplificar as coisas, não abordarei aqui a configuração automática das interfaces de encapsulamento 6to4 e Teredo de um host IPv6 baseado no Windows Vista.
A barra lateral "Processo de configuração automática de IPv6 no Windows Vista" descreve o processo de configuração automática de endereço para um host IPv6 baseado no Windows Vista com uma só interface de LAN, configurada com prefixos de endereços globais ou locais exclusivos nas interfaces de LAN ou de encapsulamento ISATAP.
Por exemplo, um host executando o Windows Vista tem uma única interface de LAN. O host recebe um anúncio de roteador em sua interface de LAN com os sinalizadores M e O definidos como 0 e contendo os prefixos 2001:DB8:D005:F282::/64 e FD4A:3A9:27A1:F282::/64. Não recebe uma mensagem de Anúncio de Roteador de um roteador ISATAP. A Figura 2 é um exemplo da saída resultante do comando
Figure 2 Saída de netsh interface ipv6 show address (Close Figure 2)
Interface 1: Loopback Pseudo-Interface 1

Addr Type DAD State Valid Life Pref. Life Address
--------- ----------- ---------- ---------- ------------------------
Other   Preferred  infinite infinite ::1

Interface 8: Local Area Connection

Addr Type DAD State Valid Life Pref. Life Address
--------- ----------- ---------- ---------- ------------------------
Temporary Preferred 6d19h37m21s 6d19h37m21s 2001:db8:d005:f282:ed46:5dd4:5439:2e1c
Public  Preferred  infinite infinite 2001:db8:d005:f282:3521:12fa:2c44:87d1
Temporary Preferred 6d19h37m21s 6d19h37m21s fd4a:3a9:27a1:f282:ed46:5dd4:5439:2e1c
Public   Preferred  infinite infinite fd4a:3a9:27a1:f282:3521:12fa:2c44:87d1
Other   Preferred  infinite infinite fe80::3521:12fa:2c44:87d1%8

Interface 17: Local Area Connection* 9

Addr Type DAD State Valid Life Pref. Life Address
--------- ----------- ---------- ---------- ------------------------
Other   Preferred  infinite infinite fe80::5efe:10.47.181.92%17

netsh interface ipv6 show address
para esse exemplo de host. Na figura, a interface de encapsulamento ISATAP correspondente à interface de LAN denominada Local Area Connection é denominada Local Area Connection* 9.
Além dos endereços configurados automaticamente, o protocolo IPv6 para Windows Server 2008 e Windows Vista também oferece suporte à configuração manual de endereços IPv6 estáticos com o uso do comando a seguir
netsh interface ipv6 add address
ou por meio do componente TCP/IPv6 (protocolo IP versão 6) das propriedades de uma conexão na pasta Conexões de Rede.
Na coluna deste mês, presumi que você já tinha uma noção geral sobre a operação de endereços e protocolos IPv6. Se precisar de mais informações sobre o assunto, sugiro que comece com o white paper "Introdução ao IPv6", que pode ser encontrado em microsoft.com/technet/network/ipv6/introipv6.mspx.

Joseph Daviesé redator técnico da Microsoft, ensina e escreve sobre assuntos relacionados a sistemas de rede do Windows desde 1992. Ele tem cinco livros publicados pela Microsoft Press e é autor da coluna online mensal da TechNet, The Cable Guy.


 Windows PowerShell: O poder da filtragem
Windows PowerShell
O poder da filtragem
Don Jones

Na coluna do mês passado, discuti o poder e a flexibilidade do pipeline do Windows PowerShell, que permite a passagem de um conjunto de dados — ou, para sermos mais exatos, de um fluxo de objetos — de um cmdlet para outro, refinando esse conjunto até que ele seja exatamente o que você quer. Nessa discussão, fiz alusão ao fato de que os seus próprios scripts,
e não somente os cmdlets, podem aproveitar o pipeline. Neste mês, gostaria de discutir esse tópico em mais detalhes.
Uma das coisas que mais faço no Windows PowerShell™ é escrever scripts que agem em vários computadores remotos, normalmente por meio do WMI (Windows® Management Instrumentation). Assim como acontece com qualquer tarefa que lide com computadores remotos, sempre há a possibilidade de um ou mais desses computadores não estarem disponíveis no momento da execução do script. Portanto, preciso que meus scripts sejam capazes de lidar com esse fato.
É claro que existem várias formas que poderiam dar a um script a capacidade de manipular o tempo limite de uma conexão WMI mas, particularmente, não gosto dessa abordagem porque o período do tempo limite é muito longo — cerca de 30 segundos, por padrão. Isso poderia fazer com que meu script fosse executado de forma muito mais lenta caso eu tivesse de aguardar por diversos tempos limites. Em vez disso, quero que o meu script execute uma verificação rápida para determinar se o computador está online antes de tentar se conectar a ele.

O paradigma do Windows PowerShell
Em outras linguagens de scripts, como o VBScript, normalmente seria necessário lidar com um computador por vez. Ou seja, recuperar o nome de um computador — talvez de uma lista de nomes armazenada em um arquivo de texto — e fazer um ping no sistema para descobrir se ele está disponível. Se o sistema estiver disponível, será necessário fazer a conexão WMI e executar qualquer outro trabalho necessário. Essa é um abordagem de scripts comum. Na verdade, provavelmente eu escreveria todo o meu código em um loop e repetiria esse loop uma vez para cada computador a ser conectado.
O Windows PowerShell, no entanto, é mais adequado para as operações em lote, graças à sua base em objetos e à sua capacidade de trabalhar diretamente com grupos ou coleções de objetos. O paradigma do Windows PowerShell não é trabalhar com objetos únicos ou com dados, mas trabalhar com grupos inteiros, refinando-os pouco a pouco até a conclusão da tarefa. Por exemplo, em vez de recuperar um nome de computador por vez de minha lista, eu leria toda a coleção de nomes de uma só vez. E, em vez de fazer ping em cada computador em um loop, escreveria uma única rotina para aceitar uma coleção de nomes, faria ping neles e exibiria aqueles que pudessem ser contatados. A próxima etapa do meu processo seria fazer minha conexão WMI com os nomes restantes — aqueles que puderam ser alcançados por meio do ping.
O Windows PowerShell usa essa mesma abordagem para diversas tarefas. Por exemplo, para obter uma lista de serviços em execução, posso usar algo semelhante a este código:
Get-Service | Where-Object { $_.Status –eq "Running" }
A Figura 1 mostra como fica a saída em meu computador. Em vez de verificar cada serviço por vez, recuperei todos eles usando Get-Service, canalizei-os para Where-Object e filtrei aqueles que não estavam em execução. Isso é mais ou menos o que eu queria fazer com o meu script: obter uma lista de nomes de computador, filtrar aqueles que não puderam ser alcançados e passar a lista dos computadores nos quais farei o ping na próxima etapa.
Figura 1 Obtendo uma lista de computadores que podem ser alcançados com ping
Figura 1 Obtendo uma lista de computadores que podem ser alcançados com ping

Funções de filtragem
Embora possa escrever o meu próprio cmdlet para realizar essa tarefa, não quero fazer isso. A criação de um cmdlet requer o Visual Basic® ou o C# e uma boa dose de experiência em desenvolvimento no Microsoft® .NET Framework. E, mais importante, requer mais envolvimento do que desejo investir nessa tarefa. Felizmente, o Windows PowerShell permite que eu escreva um tipo especial de função, chamado filtro, que é perfeitamente capaz de atuar no pipeline. Esta é a estrutura de tópicos básica de uma função de filtragem:
function <name> {
 BEGIN {
  #<code>
 }
 PROCESS {
  #<code>
 }
 END {
  #<code>
 }
}
Como você pode ver, essa função contém três blocos de scripts independentes, chamados BEGIN, PROCESS e END. Um função de filtragem — ou seja, uma função criada para funcionar no pipeline para filtrar objetos — pode ter qualquer combinação desses três blocos de scripts, dependendo do que você deseja fazer. Eles funcionam desta forma:
  • O bloco BEGIN é executado somente uma vez na primeira chamada à sua função. Ele pode ser usado para uma instalação, se necessário.
  • O bloco PROCESS é executado uma vez para cada objeto de pipeline passado para a função. A variável $_ representa o objeto de entrada do pipeline atual. A presença desse bloco é obrigatória em uma função de filtragem.
  • O bloco END é executado uma vez após o processamento de todos os objetos do pipeline. Ele pode ser usado para qualquer tarefa de finalização, se necessário.
Em meu exemplo, quero produzir uma função de filtragem que aceitará uma coleção de nomes como objetos de entrada e depois tentará fazer ping em cada um deles. Cada um que puder ser alcançado com êxito será enviado para o pipeline; os sistemas que não puderem ser alcançados pelo ping serão simplesmente ignorados. Uma vez que a funcionalidade do ping não requer qualquer instalação ou finalização especial, usarei somente o bloco de scripts PROCESS. O código da Figura 2 mostra o script completo.
Figure 2 Ping-Address e Restart-Computer (Close Figure 2)
1 function Ping-Address {
2  PROCESS {
3   $ping = $false
4   $results = Get-WmiObject -query `
5   "SELECT * FROM Win32_PingStatus WHERE Address = '$_'"
6   foreach ($result in $results) {
7    if ($results.StatusCode -eq 0) {
8     $ping = $true
9    }
10   }
11   if ($ping -eq $true) {
12    Write-Output $_
13   }
14  }
15 }
16
17 function Restart-Computer {
18  PROCESS {
19   $computer = Get-WmiObject Win32_OperatingSystem -computer $_
20   $computer.Reboot()
21  }
22 }
23
24 Get-Content c:\computers.txt | Ping-Address | Restart-Computer
Observe que defini duas funções: Ping-Address e Restart-Computer. No Windows PowerShell, as funções devem ser definidas antes que possam ser chamadas. Como resultado, a primeira linha executável do meu script é a linha 24, que utiliza o cmdlet Get-Content para obter uma lista de nomes de computador de um arquivo (um nome de computador por linha). Essa lista — tecnicamente, uma coleção de objetos de cadeias de caracteres — é canalizada para a função Ping-Address, que filtra quaisquer computadores que não possam ser alcançados pelo ping. Os resultados são canalizados para Restart-Computer, que usa o WMI para reiniciar remotamente cada computador que foi alcançado pelo ping.
A função Ping-Address implementa um bloco de scripts PROCESS, o que significa que a função está esperando uma coleção de objetos de entrada. O bloco de scripts PROCESS lida com essa entrada automaticamente — não precisei definir quaisquer argumentos de entrada para armazená-la. O processo é iniciado na linha 3 com a configuração da variável $ping como $false, uma variável interna do Windows PowerShell que representa o valor Booleano False.
Em seguida, utilizo a classe WMI Win32_PingStatus local para fazer ping no computador especificado. Observe que a variável $_ da linha 5, que representa o objeto atual do pipeline, foi incorporada à cadeia de caracteres da consulta WMI. Quando uma cadeia de caracteres for exibida entre aspas, o Windows PowerShell sempre tentará substituir variáveis como $_ por seu conteúdo, para que você não mexa na concatenação de cadeias de caracteres. Estou usando esse recurso na linha 5.
A linha 6 é um loop que verifica os resultados do meu ping. Se qualquer um dos resultados for retornado com êxito (ou seja, com um StatusCode zero), $ping será definido como $true para indicar isso. Na linha 11, verifico se $ping foi definido como $true. Se foi, o objeto de saída original será enviado para o fluxo de saída padrão. O Windows PowerShell gerencia o fluxo de saída padrão automaticamente. Se essa função estiver no final do pipeline, o fluxo de saída será transformado em uma representação de texto. Se houver mais comandos no pipeline, os objetos do fluxo de saída — nesse caso, os objetos de cadeia de caracteres contendo os nomes de computador — serão passados para o próximo comando de pipeline.
De alguma forma, a função Restart-Computer é mais simples, mas também utiliza um bloco PROCESS para poder participar do pipeline com facilidade. Na linha 19, a função se conecta ao computador nomeado e recupera sua classe WMI Win32_OperatingSystem. A linha 20 executa o método Reboot da classe para reiniciar o computador remoto.
Novamente, a linha 24 é o local onde tudo é realmente executado. É claro que você deve ter cuidado ao executar esse script — ele foi criado para reiniciar todos os computadores nomeados em c:\computers.txt, o que, definitivamente, poderá ter resultados desastrosos se você não prestar atenção nos nomes contidos no arquivo de texto!

Próximas etapas
Esse script não é totalmente à prova de balas. Devo reconhecer também a possibilidade de acontecer um erro de WMI não relacionado à conectividade básica, como um firewall bloqueando as portas necessárias no computador remoto ou um erro de segurança de WMI. Posso lidar com esses problemas implementando um manipulador de interceptação — o que soa como um tópico perfeito para uma próxima coluna.
Além disso, este script está executando uma ação bastante séria — reiniciar um computador remoto. Qualquer script que tente uma ação potencialmente perigosa como essa deve implementar dois parâmetros comuns do Windows PowerShell, –Confirm e –WhatIf. A explicação sobre como fazer isso requer mais espaço do que tenho aqui, mas também seria um ótimo tópico para uma próxima coluna. Enquanto isso, dê uma olhada no blog da equipe do Windows PowerShell; o arquiteto Jeffrey Snover fala sobre esse assunto.
Mesmo sem se aprofundar sobre esses recursos, você pode ter uma idéia do que as funções de filtragem são capazes. Refinarei essa técnica nas próximas colunas, mostrando como as funções podem oferecer uma ótima maneira de modularizar código reutilizável, assim como aprimorar a funcionalidade de seus scripts em geral.

Don Jones é o guru de scripts da SAPIEN Technologies e co-autor do Windows PowerShell: TFM (SAPIEN Press, 2007). Entre em contato com ele em www.ScriptingAnswers.com.


 Ei, Equipe de Scripts!: Quem &#233; voc&#234;?
Ei, Equipe de Scripts!
Quem é você?
A Equipe de Scripts da Microsoft
Faça download do código deste artigo: HeyScriptingGuy2007-082007_08.exe (152KB)

Não faz muito tempo, um membro da Equipe de Scripts que escreve esta coluna assistiu a um jogo de beisebol na TV. Quando o jogo acabou, ele decidiu ler uma revista, mas deixou a TV ligada. Ao terminar a leitura, olhou para a TV e viu que estava passando um filme antigo da Segunda Guerra Mundial. Na verdade, ele olhou bem na hora em que os atores estavam em uma daquelas cenas famosas: um jovem soldado americano que estava de guarda à noite ouviu um barulho.
— Quem é? — ele perguntou.
— É o sargento Smith — disse uma voz.
— Sargento Smith? Não existe nenhum sargento Smith neste pelotão.
— Sou novo aqui. Acabei de ser transferido da Companhia A.
— É mesmo? Da Companhia A? Muito bem, Smith, então diga: quem venceu o Campeonato Mundial de 1934?
— O New York Yankees.
Resposta errada, "Smith"! Como era de se esperar, Smith é imediatamente capturado e preso. Todo bom americano, o verdadeiro, sabe que o St. Louis Cardinals — de Dizzy Dean e a Gas House Gang — venceu o Campeonato Mundial de 1934. Quem não souber só pode ser uma coisa: espião.
Se alguém ler a coluna deste mês e não souber que o St. Louis Cardinals venceu o Campeonato Mundial de 1934, só o que podemos dizer é: o jogo acabou, sabemos que é um espião. Esperamos que ele tenha a decência de procurar a unidade do FBI mais próxima e se entregue. Ou que, pelo menos, ligue para eles; quando se trata de espiões, o FBI faz o serviço completo: coleta e entrega.
Ao ver a cena, o membro da Equipe de Scripts que escreve esta coluna percebeu que temos uma boa chance de responder à segunda pergunta do soldado: quem venceu o Campeonato Mundial de 1966? O Baltimore Orioles. O Campeonato Mundial de 1960? Pittsburgh Pirates. O Campeonato Mundial de 1994? A-há! Uma pegadinha: não houve Campeonato Mundial em 1994.
Entretanto, até hoje, ainda é extremamente difícil responder à primeira pergunta: quem é? Não é uma pergunta tão fácil de responder atualmente quanto era em 1940. Afinal, só com o Active Directory®, os usuários possuem várias identidades diferentes, incluindo:
  • Nome (givenName).
  • Sobrenome (sn).
  • Nome de exibição (displayName).
  • Nome principal do usuário (userPrincipalName).
  • Nome de logon (samAccountName).
  • Nome distinto (distinguishedName).
Todos esses nomes identificam a mesma pessoa e , dependendo das circunstâncias, é importante conhecer todos. E esse é o problema. A maioria dos usuários sabe seu nome e sobrenome. Mas se você perguntar: "Qual é o seu nome mais conhecido?", apenas alguns responderão: "Ora, é simples: é o CN=Ken.Myer, OU=Finance, DC=fabrikam, DC=com, mas meus amigos me chamam de CN=Ken.Myer".
Um administrador de sistema ou profissional de assistência técnica também precisa conhecer esses nomes. Mas como você pode conseguir essa informação? Bem, uma abordagem seria apontar uma arma para seus usuários até que, finalmente, digam quais são seus nomes mais conhecidos. Essa tática poderia até funcionar, mas não é algo que o departamento de recursos humanos não aprovaria hoje. Então, você precisa recorrer ao Plano B: um script. Que tipo de script? Bem, para iniciantes, que tal o script da Figura 1?
Figure 1 Recuperando atributos de usuário com ADSystemInfo (Close Figure 1)
On Error Resume Next

Set objSysInfo = CreateObject("ADSystemInfo")
strUser = objSysInfo.UserName

Set objUser = GetObject("LDAP://" & strUser)
WScript.Echo "First Name: " & objUser.givenName
WScript.Echo "Last Name: " & objUser.sn
WScript.Echo "Display Name: " & objUser.displayName
WScript.Echo "User Principal Name: " & objUser.userPrincipalName
WScript.Echo "SAM Account Name: " & objUser.sAMAccountName
WScript.Echo "Distinguished Name: " & objUser.distinguishedName
Rapaz, já pensou se o sargento Smith estudasse VBScript? Esse script usa um objeto ADSI pouco conhecido (mas extremamente útil) chamado ADSystemInfo. É um objeto pequeno e interessante que pode retornar todos os tipos de informações sobre o usuário conectado atualmente no computador local, bem como sobre o computador em si e o domínio ao qual ele pertence. Por exemplo, observe a Figura 2.
Figure 2 Exibir todo tipo de informação (Close Figure 2)
On Error Resume Next

Set objSysInfo = CreateObject("ADSystemInfo")

Wscript.Echo "User name: " & objSysInfo.UserName
Wscript.Echo "Computer name: " & objSysInfo.ComputerName
Wscript.Echo "Site name: " & objSysInfo.SiteName
Wscript.Echo "Domain short name: " & objSysInfo.DomainShortName
Wscript.Echo "Domain DNS name: " & objSysInfo.DomainDNSName
Wscript.Echo "Forest DNS name: " & objSysInfo.ForestDNSName
Wscript.Echo "PDC role owner: " & objSysInfo.PDCRoleOwner
Wscript.Echo "Schema role owner: " & objSysInfo.SchemaRoleOwner
Wscript.Echo "Domain is in native mode: " & objSysInfo.IsNativeMode
Hoje, porém, a única propriedade que nos interessa é UserName. O que UserName tem de tão especial? Bem, simplesmente, ela corresponde à propriedade distinguishedName. E o que distinguishedName tem de tão especial? Bem, distinguishedName é semelhante a um caminho de arquivo UNC: assim como um caminho UNC nos permite identificar exclusivamente um arquivo em um local na rede, distinguishedName (por exemplo, CN=Ken.Myer, OU=Finance, DC=fabrikam, DC=com) permite identificar exclusivamente uma conta de usuário no Active Directory. Isso, por sua vez, nos permite ligá-lo àquela conta de usuário. E, assim que a conexão for feita, poderemos recuperar qualquer informação que desejarmos sobre um usuário, incluindo quem é ele.
E é exatamente o que fazemos no primeiro script que será mostrado. Para começar, criamos uma instância do objeto ADSystemInfo e, em seguida, atribuímos o valor da propriedade UserName a uma variável chamada strUser:
Set objSysInfo = CreateObject("ADSystemInfo")
strUser = objSysInfo.UserName
Observe que não há muito que fazer aqui. Por exemplo, não temos de especificar o nome de usuário, o domínio de usuário nem o OU no qual a conta de usuário reside; ADSystemInfo faz tudo isso sozinho. Depois de obtermos o distinguishedName do usuário, podemos fazer a ligação com essa conta de usuário usando a linha de código:
Set objUser = GetObject("LDAP://" & strUser)
E, novamente, depois de fazermos a conexão, poderemos recuperar os valores de qualquer atributo do Active Directory dessa conta. Em nosso script de exemplo, recuperamos apenas algumas propriedades do nome de usuário, mas poderíamos ter recuperado facilmente o número de telefone, o endereço do escritório, o email etc.
Muito bem. Tudo o que você tem a fazer é entregar esse script a todos os usuários e nunca mais eles terão de se perguntar: "Quem sou eu?" (ou, se o fizerem, poderão descobrir rapidamente, sem dificuldade). Mas e quanto à outra questão? Quem é? É fácil identificar o usuário conectado ao computador local. Mas como você pode determinar quem está conectado a um computador remoto? Como era de se esperar, trata-se de uma tarefa um pouco mais difícil.
E, sinto dizer, também pensamos nisso; infelizmente, você não pode simplesmente apontar o nosso script ADSystemInfo para um computador remoto. Isso porque o objeto ADSystemInfo só pode ser criado localmente. Restam-nos três possibilidades:
  • Criar um script de logon que registre o nome do usuário conectado a um local prontamente acessível.
  • Usar a classe WMI Win32_ComputerSystem e a propriedade UserName.
  • Fazer outra coisa.
A primeira opção parece bem interessante. Como você deve ter notado, o objeto ADSystemInfo pode retornar o nome distinto do computador (a propriedade ComputerName), bem como o nome distinto do usuário. Considere, por exemplo, o script mostrado na Figura 3.
Figure 3 Script de logon (Close Figure 3)
On Error Resume Next

Set objSysInfo = CreateObject("ADSystemInfo")

strUser = objSysInfo.UserName
strComputer = objSysInfo.ComputerName

Set objUser = GetObject("LDAP://" & _
    strUser)
strUserName = objUser.displayName

Set objComputer = GetObject("LDAP://" & _
    strComputer)
objComputer.Description = strUserName
objComputer.SetInfo
O que estamos fazendo aqui? Para começar, usamos os valores das propriedades UserName e ComputerName e os armazenamos em um par de variáveis (strUser e strComputer). Em seguida, fazemos a ligação com a conta de usuário no Active Diretory (da mesma forma que antes), recuperamos o valor do atributo displayName (como antes) e o armazenamos em uma variável chamada strUserName. Bem simples, não?
Agora, podemos usar esta linha de código para fazer a conexão com a conta do computador do Active Directory:
Set objComputer = GetObject("LDAP://" & _
    strComputer)
Depois de fazer a conexão, atribuímos o displayName do usuário à propriedade Description do computador e chamamos o método SetInfo para escrever essa alteração no Active Directory:
objComputer.Description = strUserName
objComputer.SetInfo
Por que fazemos isso? É fácil. Suponha que Ken Myer faça logon no computador atl-ws-01. Adivinhe qual será o valor da propriedade Description de atl-ws-01? Isso mesmo: Ken Myer, a pessoa que está atualmente conectada ao computador. Quer saber quem está conectado a atl-ws-01? Basta verificar a propriedade Description.
Agora, em geral, esse cenário funciona muito bem, mas funcionará ainda melhor se você tiver um script de logoff que limpe a propriedade Description sempre que o usuário fizer logoff. Entretanto, não é uma solução à prova de erros. Por que não? Bem, os scripts de logon nem sempre são executados. Por exemplo, normalmente, eles não são executados quando a pessoa se conecta usando RAS. Da mesma forma, um script de logon não será executado se um usuário desligar a conexão de rede, fizer logon usando credenciais armazenadas em cache e conectar o computador novamente à rede. E suponha que um usuário apenas desligue o computador sem fazer logoff. Isso significa que seu script de logoff nunca será executado. Nesse caso, Ken Myer supostamente continuará conectado a atl-ws-01, muito embora seu computador não esteja ligado. Em outras palavras, é uma técnica útil, mas...
Então, que tal a segunda opção: usar a classe Win32_ComputerSystem? Isso, em geral, também funciona, mas o problema da classe Win32_ComputerSystem é que ela nem sempre retorna o nome do usuário conectado, especialmente para usuários que não possuem direitos de administrador (e também para computadores que executam o Windows® 2000). O script na Figura 4 provavelmente dirá quem está conectado ao computador, mas, novamente, sem nenhuma garantia.
Figure 4 Descobrir quem está conectado ao WMI (Close Figure 4)
strComputer = "."

Set objWMIService = GetObject("winmgmts:\\" & strComputer & "\root\cimv2")
Set colItems = objWMIService.ExecQuery("Select * From Win32_ComputerSystem")

For Each objItem in colItems
  Wscript.Echo objItem.UserName
Next
Por acaso, nesse exemplo, a propriedade UserName é relatada no formato domain\username. Em outras palavras: FABRIKAM\kenmyer.
Ah, quase esquecemos: se um nome for retornado, isso não significa que um usuário está realmente conectado ao computador. Quando Ken Myer faz logoff em atl-ws-01, seu nome é retido como o valor da propriedade UserName e não é substituído até que outra pessoa faça logon.
Pois é.
Mas, espere aí, isso não significa que somos espiões. Veja outra abordagem possível. Se alguém se conectar a um computador, o processo Explorer.exe certamente será executado. Em geral, se o Explorer.exe não é executado é porque ninguém está conectado ao computador. E como o Explorer.exe é executado sob as credenciais do usuário que fez logon, quase sempre podemos determinar quem se conectou a um computador usando um script semelhante ao da Figura 5.
Figure 5 Determinar o proprietário de Explorer.exe (Close Figure 5)
strComputer = "atl-ws-01"

Set objWMIService = GetObject("winmgmts:\\" & strComputer & "\root\cimv2")

Set colItems = objWMIService.ExecQuery _
  ("Select * from Win32_Process Where Name = 'explorer.exe'")

If colItems.Count = 0 Then
  Wscript.Echo "No one is logged on to the computer."
Else
  For Each objProcess in colItems
    objProcess.GetOwner strUser, strDomain
    Wscript.Echo strDomain & "\" & strUser
  Next
End If
Como você pode ver, nesse caso, estamos nos conectando ao serviço WMI em um computador remoto (atl-ws-01, para ser mais exato). Então, usamos esta linha de código para recuperar uma coleção de todas as instâncias da classe Win32_Process que possui o nome Explorer.exe:
Set colItems = objWMIService.ExecQuery _
  ("Select * from Win32_Process Where " & _
  "Name = 'explorer.exe'")
E agora? Bem, como observamos há pouco, se o Explorer.exe não estiver em execução, é bem provável que ninguém tenha feito logon no computador. Como saberemos se o Explorer.exe está em execução? Uma maneira bastante simples é verificar o valor da propriedade Count da coleção. Se Count for igual a 0, a coleção estará vazia, e a coleção só ficará vazia quando nenhuma instância do Explorer.exe estiver em execução no atl-ws-01. Se for esse o caso, emitiremos uma mensagem de volta informando que ninguém está conectado ao computador:
Wscript.Echo "No one is logged on " & _
"to the computer."
Se Count não for igual a 0, configuramos um loop For Each para passar pela coleção de processos chamados Explorer.exe (e, sim, estamos supondo que nossa coleção, invariavelmente, tenha apenas um item). Para cada instância do Explorer.exe, chamamos o método GetOwner para determinar em qual conta o Explorer.exe está sendo executado:
objProcess.GetOwner strUser, strDomain
Observe que passamos para GetOwner um par de parâmetros de saída: strUser e strDomain. Os parâmetros de saída são simplesmente variáveis que nomeamos e às quais fornecemos um método; o método é que atribuirá os valores aos parâmetros de saída. Nesse caso, a strUser será atribuído o nome de logon do usuário conectado (kenmyer) e a strDomain será atribuído o nome de domínio para o usuário conectado (FABRIKAM). Tudo que temos a fazer é recuperar os valores desses dois parâmetros de saída:
Wscript.Echo strDomain & "\" & strUser
Sabe de uma coisa? Está muito bom. Mas podemos ir além. Quando usamos o método GetOwner, recuperamos o nome de logon (samAccountName) para o usuário conectado ao computador. Tudo bem, mas, como observamos antes, os usuários possuem muitos nomes, além do samAccountName. Para realmente responder à questão: "Quem é?", seria interessante conhecermos, digamos, o displayName do usuário. Mas não é possível determinar esses outros nomes usando GetOwner, não é mesmo?
De fato, não é possível. Entretanto, podemos usar samAccountName, incluí-lo em um script de pesquisa do Active Directory, localizar a conta de usuário e ligá-lo a ela com um nome de logon (uma tarefa facilitada pelo fato de que samAccountName deve ser exclusivo dentro de um domínio). E, depois de fazermos a ligação com a conta de usuário, podemos recuperar os valores de qualquer propriedade do Active Directory, incluindo displayName.
Não temos tempo para explicar em detalhes o script da Figura 6; para obter mais informações sobre como pesquisar no Active Directory, consulte "Cara, cadê minha impressora?". Não é preciso dizer que esse script determina o nome de logon do usuário conectado, pesquisa o usuário no Active Directory com esse nome de logon (samAccountName), faz a conexão com a conta de usuário em questão e recupera o displayName do usuário. E tudo com uma mão amarrada às costas!
Figure 6 Fazer a ligação com o usuário conectado (Close Figure 6)
strComputer = "atl-ws-01"

Set objWMIService = GetObject("winmgmts:\\" & strComputer & "\root\cimv2")

Set colItems = objWMIService.ExecQuery _
  ("Select * from Win32_Process Where Name = 'explorer.exe'")

If colItems.Count = 0 Then
  Wscript.Echo "No one is logged on to the computer."
Else
  For Each objProcess in colItems
    objProcess.GetOwner strUser,strDomain
  Next
End If

Const ADS_SCOPE_SUBTREE = 2

Set objConnection = CreateObject("ADODB.Connection")
Set objCommand = CreateObject("ADODB.Command")
objConnection.Provider = "ADsDSOObject"
objConnection.Open "Active Directory Provider"
Set objCommand.ActiveConnection = objConnection

objCommand.Properties("Page Size") = 1000
objCommand.Properties("Searchscope") = ADS_SCOPE_SUBTREE

objCommand.CommandText = "SELECT displayName FROM " & _
  "'LDAP://DC=wingroup,DC=fabrikam,DC=com' WHERE " & _
    "objectCategory='user' " & _
    "AND samAccountName = '" & strUser & "'"
Set objRecordSet = objCommand.Execute

objRecordSet.MoveFirst

Do Until objRecordSet.EOF
  Wscript.Echo objRecordSet.Fields("displayName").Value
  objRecordSet.MoveNext
Loop
Então, quais são as pedidas de hoje? (A propósito, é assim que o pessoal da Microsoft fala. Se você quiser deixar a Equipe de Script completamente louca, basta dizer algo como: "Precisamos fazer uma triagem das principais pedidas, medidas e contramedidas para nossos acionistas".) Bem, para começar, agora sabemos como obter informações sobre o usuário conectado a um computador, seja o computador local ou o remoto. Acima de tudo, sabemos o que devemos fazer se um dia entrarmos na máquina do tempo e cairmos na Segunda Guerra Mundial: carregar uma cópia desta coluna (para poder responder à questão: "Quem é?") e, aconteça o que acontecer, sempre ter em mãos uma lista dos vencedores de Campeonatos Mundiais. Afinal, nunca se sabe. Alguém pode perguntar: "Quem ganhou o Campeonato Mundial de 1903?".
Observação: o Boston Red Sox. A propósito, esse foi o primeiro Campeonato Mundial. Agora, quem você acha que ganhou o Campeonato Mundial de 1904? Então você não sabe? Dá licença um minutinho? Precisamos atender a uma ligação...

A Equipe de Scripts da Microsoft trabalha para a – bem, é empregada da – Microsoft. Quando não está jogando/treinando/assistindo beisebol (e diversas outras atividades), ela administra o Script Center da TechNet. Confira no site www.scriptingguys.com.


 Security Watch: Aprimoramentos na PKI do Windows
Security Watch
Aprimoramentos na PKI do Windows
John Morello
Esta coluna se baseia em uma versão de pré-lançamento do Windows Server 2008. Todas as informações aqui contidas estão sujeitas a alterações.

O Windows inclui, desde o lançamento do Windows 2000, um sólido suporte para PKI (infra-estrutura de chave pública) em toda a plataforma. Esse lançamento trouxe o primeiro recurso de autoridade de certificação nativa, introduziu a inscrição automática e forneceu suporte para a autenticação de cartões inteligentes. No Windows XP e no Windows Server 2003, esses
recursos foram expandidos para fornecer opções mais flexíveis de inscrição, com modelos de certificados versão 2 e suporte para a inscrição automática de certificados de usuários. No Windows Vista® e no Windows Server® 2008 (anteriormente conhecido pelo codinome "Longhorn"), a plataforma de PKI do Windows® passa à próxima etapa, oferecendo suporte a algoritmos avançados, verificação de validade em tempo real e melhor gerenciamento. Esta coluna aborda os novos recursos de PKI do Windows Vista e do Windows Server 2008 e como podem ser utilizados pelas empresas para reduzir custos e aumentar a segurança.
Os aprimoramentos na PKI do Windows Vista e do Windows Server 2008 estão concentrados em torno de quatro pilares principais: criptografia, inscrição, gerenciamento e revogação. Além desses aprimoramentos específicos de recursos, a plataforma de PKI do Windows também extrai benefícios de outros avanços do sistema operacional, como o Gerenciador de Função, que facilitam a criação e a implantação de novas CAs (autoridades de certificação). Além disso, muitas outras partes do Windows podem aproveitar os aprimoramentos na plataforma de PKI, como o suporte no Windows Vista ao uso de cartões inteligentes para armazenar chaves EFS (sistema de arquivos com criptografia).

Criptografia
Os aprimoramentos no pilar da criptografia são duplos. Em primeiro lugar, com a introdução da CNG (Cryptography Next Generation), o Windows agora fornece um recurso de criptografia conectável e independente de protocolos que torna mais fácil desenvolver e acessar via programação algoritmos individuais. Em segundo lugar, a CNG traz novo suporte aos algoritmos do Conjunto B, lançados pela NSA (Agência Nacional de Segurança dos EUA) em 2005.
A CNG é uma nova interface básica de criptografia para a Microsoft, sendo a API recomendada para futuros aplicativos baseados em Windows com reconhecimento de criptografia. A CNG fornece uma grande diversidade de novos recursos voltados para o desenvolvedor, incluindo a detecção e a substituição mais fáceis de algoritmos, geradores de números aleatórios substituíveis e uma API criptográfica em modo kernel. Ao mesmo tempo em que oferece esses novos recursos, a CNG tem total compatibilidade retroativa com o conjunto de algoritmos fornecidos no predecessor CryptoAPI 1.0. Atualmente, a CNG está sendo avaliada para a certificação no padrão FIPS 140-2 nível 2, e também para os Critérios Comuns de plataformas selecionadas.
O suporte da CNG ao Conjunto B inclui todos os algoritmos necessários: AES (chaves de todos os tamanhos), a família SHA-2 (SHA-256, SHA-384 e SHA-512) de algoritmos de hash, ECDH (curva elíptica Diffie-Hellman) e ECDSA (algoritmo de assinatura digital de curva elíptica) sobre as curvas principais padrão P-256, P-384 e P-521 do NIST (Instituto Nacional de Padrões e Tecnologia dos EUA). A NSA determinou que implementações certificadas do Conjunto B serão usadas para proteger informações classificadas como Altamente Confidenciais, Confidenciais e informações particulares que, no passado, foram descritas como Sigilosas mas Não Confidenciais. Todos os algoritmos do Conjunto B foram desenvolvidos de forma aberta e alguns outros governos também estão avaliando sua adoção como padrões nacionais.
Esses aprimoramentos no nível inferior da plataforma de PKI do Windows proporcionam aos desenvolvedores métodos mais seguros para proteger dados, criando, ao mesmo tempo, um subsistema mais fácil de manter e aprimorar ao longo do tempo. Como a CNG é uma arquitetura conectável, novos algoritmos podem ser adicionados conforme necessário, e a CNG abstrai esses provedores da camada de aplicativos. O resultado final é que o Windows Vista e o Windows Server 2008 proporcionam uma plataforma avançada e capaz de evoluir, auxiliando no desenvolvimento de aplicativos e serviços habilitados para PKI.

Inscrição
A experiência de inscrição de certificados no Windows foi muito aprimorada com uma nova ferramenta de inscrição baseada em assistente, melhor manipulação do vencimento de certificados, uma nova API, o recurso de "inscrição em nome de..." e a mobilidade de credenciais. Esses recursos aprimorados reduzem o custo total de propriedade de uma PKI, facilitando a implantação de certificados em toda a empresa com gerenciamento centralizado e mínimo impacto sobre os usuários.
A alteração mais perceptível, sob o ponto de vista da inscrição, é a nova interface do usuário de Inscrição de Certificados mostrada nas Figuras 1 e 2. Essa interface do usuário substitui a mais antiga e limitada, que não tinha a capacidade de aceitar dados dos usuários durante o processo de inscrição. A nova interface permite aos usuários inserir dados durante a inscrição (se o administrador configurar o modelo de certificado para exigir isso). Fornece também explicações claras sobre o motivo pelo qual um usuário não pode fazer a inscrição para determinado modelo.
Figura 1 Selecionando os certificados disponíveis
Figura 1 Selecionando os certificados disponíveis
Figura 2 Status dos certificados indisponíveis
Figura 2 Status dos certificados indisponíveis
Outro importante aprimoramento na interface de inscrição ocorreu na manipulação dos certificados expirados. A nova interface fornece aos usuários finais informações claras sobre quais certificados vencerão e quando, permitindo que os usuários renovem facilmente os certificados ou descartem os avisos na mesma interface. Embora os administradores possam atualizar certificados automaticamente por meio da inscrição automática, esse recurso de aviso é importante para usuários móveis ou desconectados, que talvez façam logon na rede corporativa com pouca freqüência e tenham certificados próximos da data de validade.
Para os desenvolvedores que trabalham com a inscrição de certificados, está disponível uma nova API que oferece aprimoramentos significativos em relação aos antigos controles baseados no ActiveX® (xenroll.dll e scrdernl.dll). A nova API de Inscrição de Certificados fornece uma hierarquia de classes bem definida, muito mais simples de entender e codificar. Essa nova API substitui o xenroll no Windows Vista e no Windows Server 2008.
Essa alteração na API afeta desenvolvedores e profissionais de TI, pois os clientes do Windows Vista não podem usar os recursos de inscrição baseados na Web fornecidos no Windows Server 2003. Isso ocorre porque as páginas de inscrição (armazenadas por padrão no diretório virtual /certsrv) utilizam o controle xenroll, que não está mais presente no Windows Vista. O artigo da Base de Dados de Conhecimento, "Como usar páginas de inscrição na Web para serviços de certificados juntamente com o Windows Vista" (support.microsoft.com/kb/922706), traz informações sobre uma solução alternativa. A inscrição automática do Windows Server 2003 para o Windows Vista não é afetada.
Nas versões anteriores do Windows Server, os agentes de inscrição não tinham limites para realizar inscrições em nome de outros. Em outras palavras, quando um usuário recebia a capacidade de agente de inscrição, podia fazer inscrições em nome de qualquer outro usuário na floresta. Logicamente, isso significava que o usuário poderia facilmente repassar seu privilégio, fazendo uma inscrição em nome de um usuário existente e representando o usuário com o certificado recém-criado. Na tentativa de impedir essa ameaça, as capacidades de agente de inscrição eram fornecidas somente a indivíduos altamente confiáveis. Embora essa abordagem aumentasse a segurança, também tornava os modelos de implantação menos flexíveis, pois somente um número reduzido de indivíduos possuía a capacidade de fazer inscrições em nome de outros usuários. Como resultado, organizações de grande porte, geograficamente dispersas, enfrentavam uma complexidade crescente ao implantar certificados para os usuários finais (como no caso dos cartões inteligentes).
No Windows Server 2008, os agentes de inscrição podem ser restritos em um nível muito mais granular. As restrições podem se basear nos usuários em nome dos quais é possível fazer inscrições ou segundo quais modelos as inscrições podem ser feitas, como mostrado na Figura 3. Por exemplo, agora uma organização pode fornecer a um profissional de TI local a capacidade de fazer inscrições em nome de todos os usuários de sua filial, menos daqueles pertencentes ao grupo de recursos humanos. Essa abordagem granular para os agentes de inscrição permite às empresas delegar capacidades de inscrição com mais eficiência e segurança em suas organizações.
Figura 3 Restrições dos agentes de inscrição
Figura 3 Restrições dos agentes de inscrição
Um dos maiores desafios associados a gerenciar uma PKI consiste em gerenciar os pares de chaves dispersos pelos dispositivos da organização. Até mesmo em um ambiente de PKI de complexidade moderada, qualquer usuário pode ter vários pares de chaves diferentes (por exemplo, para EFS, autenticação em uma rede sem fio e S/MIME) que precisam estar disponíveis, independentemente do local onde for feito o logon. Com a crescente prevalência da computação móvel e dos Serviços de Terminal, é mais importante do que nunca replicar esses pares de chaves na rede, para que estejam disponíveis aos usuários onde quer que façam logon. Embora os tokens transportados pelos usuários, como cartões inteligentes, possam ajudar a solucionar certas partes do problema, talvez as organizações ainda tenham usuários que não recebem esses cartões ou com certificados não armazenados nos cartões. A Mobilidade de Credenciais resolve esses problemas armazenando com segurança os pares de chaves e certificados no Active Directory®, tornando-os assim disponíveis aos usuários independentemente do local de logon.
A Mobilidade de Credenciais foi fornecida primeiro no Windows Server 2003 SP1 e permite fazer com segurança o roam de certificados e chaves entre computadores, sem o uso dos perfis de usuário móvel. No Windows Vista e no Windows Server 2008, esse recurso está incluído por padrão e é implementado no serviço CSC (cliente de serviços de certificados). As opções de configuração, como quais certificados podem fazer roam e como arbitrar conflitos, são gerenciadas via Diretiva de Grupo. No Windows Vista e no Windows Server 2008, o serviço CSC também pode fazer roam de senhas e nomes de usuário armazenados. Embora esse recurso seja incluído por padrão no Windows Vista, convém observar que a Mobilidade de Credenciais tem total suporte no Windows XP e ao fazer logon em um controlador de domínio do Windows Server 2003 (com a implantação de uma atualização; consulte support.microsoft.com/kb/907247). Isso significa que você não precisa esperar até concluir a implantação do Windows Vista para aproveitar as vantagens dessa tecnologia.

Gerenciamento
Uma série de atualizações foi feita no Windows Server 2008 para aprimorar o gerenciamento do serviço de CA (autoridade de certificação), tornando-o mais fácil de instalar, monitorar e executar com alta disponibilidade. A instalação de CA é integrada à ferramenta Gerenciador de Função e fornece um método simplificado para instalar o serviço de CA. São definidos padrões para cada etapa do processo e a instalação agora pode ser realizada de forma autônoma. Por fim, a instalação tem melhores recursos de diagnóstico para facilitar a solução de problemas, caso venham a surgir falhas ou condições problemáticas.
O monitoramento do serviço de CA foi muito aperfeiçoado no Windows Server 2008 (assim como o diagnóstico de certificados no Windows Vista, de forma geral). Além da infra-estrutura de eventos muito mais flexível, que se estende por todo o produto, o próprio serviço de CA conta agora com um console de monitoramento interno e se conecta ao Systems Center Operations Manager 2007 (anteriormente conhecido como MOM) para fornecer alertas em nível empresarial. O console de monitoramento Enterprise PKI representa um aprimoramento em relação ao seu predecessor, lançado no Windows Server 2003 AdminPak. O novo console vem incluído no produto e agora pode monitorar URIs OCSP (protocolo de status de certificados online), além de todas as CAs de determinada floresta.
O pacote de gerenciamento do Operations Manager fornece um recurso de monitoramento passivo da PKI de uma organização, incluindo alertas internos baseados em limites. O pacote de gerenciamento pode ser usado, por exemplo, para monitorar a atualização de uma CRL (lista de certificados revogados) e alertar os administradores da PKI quando uma CRL alcança determinado número de dias ou horas antes do vencimento. Por fim, estão disponíveis diversos novos contadores de desempenho, que auxiliam na solução de problemas e no monitoramento do desempenho geral do serviço de CA. Esses contadores podem ser usados para capturar dados como quantos certificados são emitidos por segundo.
Um novo recurso faz sua estréia no Windows Server 2008: o suporte a cluster do serviço de CA em nível de hardware. Esse suporte a cluster utiliza a tecnologia MSCS (Microsoft Cluster Service) padrão e oferece suporte a configurações ativo/passivo de dois nós. O suporte a cluster permite executar uma infra-estrutura de emissão com alta disponibilidade e pode ser usado em implantações de cluster geograficamente dispersas. Se você optar por utilizar o suporte a cluster, observe que simplesmente colocar uma CA em cluster não resultará na disponibilidade de toda a PKI. Embora o cluster ajude a garantir que as CAs propriamente ditas estejam disponíveis, é provável que uma PKI com funcionamento adequado tenha outros componentes não executados diretamente nas CAs. Por exemplo, os CDPs (pontos de distribuição de CRL) e os respondentes de OCSP também precisam ser executados com alta disponibilidade para garantir que a revogação possa ser realizada. Além disso, quando os HSMs (módulos de segurança de hardware), especialmente os baseados em rede, são utilizados, também representam um potencial ponto de falha na PKI. O uso de clusters é um novo recurso importante para fornecer alta disponibilidade à autoridade de certificação em si, mas não é uma solução completa para a disponibilidade de toda a implantação da PKI.

Revogação
Há muito tempo, as CRLs são usadas para fornecer verificação de validade para certificados. Essas CRLs incluem os números de série de todos os certificados cujos períodos de validade ainda não expiraram, mas que não são mais confiáveis. Por exemplo, se um funcionário tem um certificado com data de validade em 31/12/2008 mas deixa a organização em 1/9/2007, os números de série de seus certificados são colocados na CRL. Então, a CRL é disponibilizada em vários CDPs (pontos de distribuição de CRL), como caminhos HTTP e de protocolo LDAP.
Embora ainda sejam amplamente utilizadas, as CRLs têm algumas desvantagens consideráveis. Em primeiro lugar, são publicadas periodicamente pelas CAs (em geral, uma ou duas vezes por dia). Os clientes, então, baixam essas CRLs e as armazenam em cache até o próximo intervalo de publicação. Durante o período em cache, os certificados podem ser revogados e o cliente não toma conhecimento do status mais atualizado. Em segundo lugar, em organizações muito grandes, as CRLs podem crescer muito (algumas vezes ultrapassando os 100 MB). A distribuição desses arquivos em uma rede grande e muito dispersa pode ser difícil ou impossível, especialmente em cenários de filiais ou em outros ambientes com largura de banda restrita.
Para remediar esses problemas, o protocolo OCSP foi criado e definido na RFC 2560. O protocolo OCSP proporciona um método em tempo real para validar o status dos certificados. Um cliente OCSP é executado no computador que precisa verificar a validade de um certificado secundário. O software cliente faz referência a um respondente OCSP e envia uma mensagem solicitando o status de validade do certificado secundário. O respondente verifica a validade do certificado e responde ao cliente em tempo real. Essa abordagem evita problemas no armazenamento em cache e na distribuição.
Pela primeira vez, a funcionalidade dos clientes OCSP vem incluída no Windows Vista (anteriormente, era necessário software de terceiros) e pode ser configurada via Diretiva de Grupo. Por padrão, o Windows tentará usar o OCSP, mas fará o fallback para as pesquisas padrão de CRL se o respondente estiver indisponível.
No Windows Server 2008, é fornecido um respondente OCSP para responder a essas solicitações. O respondente é instalado com o Gerenciador de Função e pode ser monitorado pelo pacote de gerenciamento do Operations Manager 2007. Como o cliente e o respondente obedecem ao padrão OCSP, podem ser facilmente integrados a ambientes OCSP já existentes, que utilizem componentes de terceiros baseados em padrões semelhantes. Por exemplo, há total suporte para que um cliente do Windows Vista verifique o status de certificados com um respondente de terceiros e para que um respondente do Windows Server 2008 responda a consultas de um aplicativo cliente de terceiros. Além disso, o respondente OCSP do Windows pode responder a solicitações de certificados emitidos por qualquer CA em conformidade com os padrões. Não são obrigatórias CAs do Windows Server 2008 (e CAs baseadas no Windows de forma geral).

Conclusão
A plataforma de PKI do Windows Vista e do Windows Server 2008 inclui muitos aprimoramentos e vários novos recursos que tornam a implantação e a operação de uma PKI mais segura e econômica. A nova API de CNG proporciona aos desenvolvedores um ambiente mais simples de programação, com suporte para novos padrões de criptografia. Os aperfeiçoamentos na inscrição permitem às organizações provisionar certificados em massa com mais facilidade e fazer com segurança o roam de chaves na empresa. Da mesma forma, o novo pacote de gerenciamento e o recurso de cluster de CA tornam mais fácil monitorar o status das CAs e garantir a alta disponibilidade. Por fim, os aprimoramentos na verificação de revogação adotam uma abordagem baseada em padrões para fornecer validação em tempo real de certificados, sem os custos de largura de banda associados à distribuição de CRLs. Como resultado, o Windows Vista e o Windows Server 2008 elevam a plataforma de PKI do Windows a um novo patamar.
Recursos de aprimoramento da PKI
  • Home page de PKI do Windows
  • Solucionando problemas na PKI do Windows Vista
  • API de criptografia: Next Generation
  • API de Inscrição de Certificados Como usar páginas de inscrição na Web para serviços de certificados juntamente com o Windows Vista
  • Configurando e solucionando problemas da Mobilidade de Credenciais de clientes para serviços de certificados

John Morelloestá na Microsoft desde 2000. Como consultor sênior, criou soluções de segurança para empresas da lista Fortune 100 e para agências federais civis e militares. Atualmente, ele é gerente de programas sênior da divisão Windows Server, trabalhando em segurança e tecnologias de acesso em qualquer lugar. Leia o blog da equipe dele em blogs.technet.com/WinCAT.


 Os arquivos da &#225;rea de trabalho: Conhecendo o RDP
Os arquivos da área de trabalho
Conhecendo o RDP
Wes Miller

O protocolo RDP permite acessar computadores remotamente. É uma tecnologia útil que, sem dúvida, salvou muitos administradores de sistema ao longo dos anos. Há muito tempo, o RDP fornece um suporte de acesso remoto que vem se tornando cada vez melhor. Ele foi introduzido em 1998 para o Windows NT 4.0 Terminal Server
Edition (TSE) e evoluiu em quase todas as versões posteriores do Windows®.
Desde o Windows 2000, tornou-se fácil para, praticamente, qualquer pessoa acessar um sistema de servidor remotamente, porque os Serviços de Terminal foram introduzidos como um componente opcional do Windows e podiam ser configurados para permitir o uso do sistema como um verdadeiro Terminal Server ou o que chamamos hoje de Área de Trabalho Remota. O Windows Server® 2003 e o Windows XP ofereciam a funcionalidade de Área de Trabalho Remota, permitindo controlar o sistema localmente. Atualmente, eu uso a Área de Trabalho Remota todos os dias para acessar o PC e o servidor de minha casa remotamente, e usar o Media Center Extender.
O Windows XP e as versões posteriores do Windows adicionaram a Assistência Remota, que fornece uma experiência semelhante à Área de Trabalho Remota, com a diferença de que foi projetada para um usuário local solicitar assistência de um usuário remoto. Continuando a evolução do suporte ao acesso remoto, o Windows Vista® agora permite aos usuários remotos oferecerem Assistência Remota, quando permitida pela Diretiva de Grupo.
Como você pode ver, a Área de Trabalho Remota colocou essa poderosa funcionalidade em um nível totalmente novo, e você pode apreciar tudo que ela tem a oferecer. Sem dúvida, a Área de Trabalho Remota apresenta algumas limitações, mas, em contrapartida, oferece muitos benefícios. Vamos examinar os dois lados da moeda.

O lado bom, o lado ruim e o fantástico
No Windows XP (à exceção do Media Center Edition), a principal limitação é que apenas um usuário interativo por vez pode se conectar. Enquanto a Troca Rápida de Usuário no Windows XP permite que mais de um usuário se conecte, somente um pode ser interativo, usando o mouse ou o teclado, seja localmente, no PC, ou remotamente. Com as versões do Windows Server (não executadas como Terminal Servers), duas sessões da Área de Trabalho Remota podem se conectar ao mesmo tempo. Para se conectar por meio da Área de Trabalho Remota à sessão de console real no Windows Server 2003, é necessário iniciar o aplicativo cliente de Serviços de Terminal (MSTSC.exe) com o parâmetro opcional /console. A sessão de console é muito importante porque alguns aplicativos antigos, que não foram criados apropriadamente para levarem em conta as sessões dos Serviços de Terminal, oferecerão caixas de diálogo pop-up apenas na sessão de console (Sessão 0). A Figura 1 mostra um usuário conectado à sessão de console no Windows Server 2003. A Área de Trabalho Remota do Windows Server 2003 irá impor o licenciamento para garantir que apenas o número permitido de usuários se conecte interativamente.
Figura 1 Conectado na Sessão 0
Figura 1 Conectado na Sessão 0
Além disso, a largura de banda da rede e a Diretiva de Grupo podem afetar a experiência da Área de Trabalho Remota. O Windows XP é capaz de oferecer uma resolução de até 24 bits, bem como redirecionamento de som, impressoras locais, discos e a área de transferência para recortar e colar. Por causa da maneira como a Área de Trabalho Remota funciona no desenho da tela, a remoção de elementos gráficos da sessão remota (temas, planos de fundo e outros) aumenta drasticamente a disponibilidade da largura de banda da rede e, conseqüentemente, a torna muito mais responsiva ao usuário. O Windows Vista toma isso como base, adicionando a resolução de 32 bits e o redirecionamento de dispositivo adicional.
Observe que algumas coisas, como operações graficamente intensivas, podem ser desafiadoras mesmo para as melhores sessões de Área de Trabalho Remota se não houver largura de banda suficiente, por isso, planeje de forma adequada.

Nova funcionalidade no Windows Vista
O Windows Vista introduziu alterações significativas na Área de Trabalho Remota. Como mencionei, a resolução de vídeo de 32 bits e o aperfeiçoamento de fontes são algumas das alterações mais visíveis. Um aprimoramento relacionado é a capacidade de executar sessões do Windows Vista em vários monitores, ao iniciar o cliente de Serviços de Terminal com o comando /span. Observe que /span funciona apenas com os sistemas de host remoto do Windows Vista e requer a mesma resolução do cliente em todos os monitores, que por sua vez, devem estar alinhados. O /span, na verdade, trata o sistema remoto (o cliente) como um grande vídeo. Isso significa que a maximização de um aplicativo pode causar efeitos inesperados, incluindo caixas de diálogo colocadas de forma inconveniente, que precisam ser movidas pelo usuário.
Além disso, se o cliente a partir do qual você está se conectando for do Windows Vista, e o sistema remoto também, será possível executar a interface de usuário da sessão remota no modo Windows Aero™ Glass (contanto que o sistema local ofereça suporte a esse recurso, mesmo que o remoto não ofereça). Isso é resultado da reformulação da Área de Trabalho Remota do Windows para executar a maioria das operações de gerenciamento de janelas no sistema cliente, se o cliente for Windows Vista, melhorando a experiência do usuário e, ao mesmo tempo, reduzindo o uso da largura de banda.
O Windows Vista também traz um importante aprimoramento de segurança: a NLA (Autenticação no Nível da Rede). A NLA pode ajudar a impedir ataques man-in-the-middle, nos quais um usuário não-autorizado falsifica o servidor ao qual você está se conectando. A NLA também melhora a experiência de autenticação, deixando de iniciar a interface do usuário do Windows completa para autenticação a fim de minimizar o impacto no sistema remoto e reduzir a susceptibilidade dos ataques de negação de serviço. A NLA requer o Windows Vista nos sistema dois sistemas, cliente e remoto. A Figura 2 mostra como especificar, por meio do cliente RDP 6.0, se a autenticação deve ser imposta, se deve ser enviado um aviso ou se tudo isso é necessário. Observe que, se você estiver se conectando a um sistema remoto que executa uma versão do Windows anterior ao Windows Vista, é recomendável defini-la para que, no mínimo, avise sobre essa conexão, caso contrário, ela falhará.
Figura 2 Preferências avançadas de conexão
Figura 2 Preferências avançadas de conexão
O redirecionamento de recursos aperfeiçoado (mais do que apenas unidades e impressoras) é outro aprimoramento importante do RDP no Windows Vista. Contanto que os drivers estejam presentes no sistema remoto e o dispositivo ofereça suporte ao redirecionamento, é possível redirecionar vários tipos novos de dispositivos, incluindo cartões inteligentes. Os tipos de dispositivo adicionais podem ter suporte de seus fornecedores.
O Windows Vista também oferece suporte a servidores gateway por meio do cliente RDP 6.0. Isso permite aos usuários se conectarem aos sistemas em funcionamento perfeitamente na Internet sem precisar de uma conexão VPN nem de qualquer software de terceiros. A Figura 3 mostra as configurações do servidor Gateway de Serviços de Terminal. Imagine que o servidor gateway é semelhante ao VPN, mas não precisa de um software cliente específico além do RDP 6.0 (não é necessária nenhuma configuração de software proprietário ou de VPN).
Figura 3 Configurações do servidor Gateway de Serviços de Terminal
Figura 3 Configurações do servidor Gateway de Serviços de Terminal
O Windows Vista também inclui a infra-estrutura para um novo recurso chamado RemoteApp™. Vejamos o que o RemoteApp pode fazer por você. Normalmente, a área de trabalho permite que você se conecte a uma sessão completa do Windows. Mas suponha que você está interessado apenas em executar o Microsoft® Word ou o Microsoft PowerPoint®. O RemoteApp fornece a capacidade de fazer exatamente isso. Os cenários para habilitar o compartilhamento de aplicativos robusto também serão disponibilizados no Windows Server 2008.
Além disso, um novo suporte foi adicionado ao Windows Vista para a API de Compartilhamento da Área de Trabalho do Windows, que permite a publicação de aplicativos colaborativos compartilhados. Um aplicativo de exemplo disponibilizado pela equipe do Microsoft Terminal Server em blogs.msdn.com/ts/ archive/2007/03/23/writing-a-desktop-sharing-application.aspx demonstra como o Compartilhamento de Área de Trabalho do Windows funciona.
Uma alteração importante que se deve ter em mente no Windows Vista e posteriores é que a Sessão 0 (classicamente, a sessão de console, em que aplicativos herdados emitirão mensagens de diálogo pop-up), em geral, não é acessível ao usuário. Isso reduz a interatividade entre os dispositivos de sistema (executados na Sessão 0, embora não de forma interativa) e os usuários interativos. Além disso, permite uma redução na superfície de ataque apresentada por serviços muito privilegiados e usuários interativos no Windows Vista em que o foco é a redução de privilégio (por meio do Controle de Conta de Usuário e outros aprimoramentos de segurança). Em geral, não é algo com que você deva se preocupar, a menos que execute um software herdado no Windows Vista e ele apresente um comportamento estranho ao ser instalado ou executado.
Onde encontrar a Área de Trabalho Remota
Uma questão importante a ser levada em conta com relação à Área de Trabalho Remota é saber onde ela pode ser usada. O Windows XP Professional, o Media Center Edition e o Tablet PC Edition incluem essa funcionalidade, bem como todas as versões do Windows Server 2003. O Windows Vista a inclui nas edições Business, Enterprise e Ultimate. Entretanto, as edições Home do Windows, incluindo Windows XP Home Edition e todas as Home Editions do Windows Vista, não a incluem.

Cliente de Serviços de Terminal
Você pode encontrar o novo cliente RDP 6.0 em go.microsoft.com/fwlink/?LinkId=91612. Conforme mencionado acima, o cliente inclui todas as funcionalidades necessárias para se conectar a um sistema RDP 6.0 (Windows Vista ou Windows Server 2008).
A Figura 4 mostra o cliente RDP 6.0. Uma melhoria significativa no MSTSC é a capacidade de armazenar em cache as credenciais; e, se a conexão for de Windows Vista para Windows Vista ou Windows Server 2008, até mesmo um logon único (SSO) possuirá suporte por meio da Diretiva de Grupo.
Figura 4 Cliente RDP 6.0
Figura 4 Cliente RDP 6.0
A versão 6.0 do MSTSC.exe possui vários parâmetros de linha de comando, listados abaixo. Vejamos cada um deles separadamente.
mstsc [<connection file>] [/v:<server[:port]>]
[/console] [/f[ullscreen]] [/w:<width>] [/h:<height>]
[/public] | [/span] [/edit "connection file"] [/migrate] [/?]
/v:<server[:port]> especifica o computador remoto a ser conectado, bem como um valor de porta opcional (a porta 3389 é a definição padrão; ela pode ser alterada em todas as versões do Windows).
/console permite se conectar à sessão de console de versões mais antigas do Windows. Essa configuração não funciona com o Windows Vista ou o Windows Server 2008.
/f inicia a Conexão de Área de Trabalho Remota no modo de tela inteira.
/w:<width> especifica a largura da janela da Conexão de Área de Trabalho Remota.
/h:<height> especifica a altura da janela da Área de Trabalho Remota.
/public executa a Conexão de Área de Trabalho Remota no modo público. No modo público, o cliente RDP não armazena nenhum dado no cache do sistema local. Use o modo público, por exemplo, ao se conectar a um servidor comercial de um sistema em um centro de conferências.
Mais mágica dos Serviços de Terminal
Talvez você não esteja familiarizado com as duas outras tecnologias que usam os componentes dos Serviços de Terminal para realizar sua mágica. A Troca Rápida de Usuário no Windows XP e no Windows Vista funciona ao permitir que vários usuários façam logon no mesmo sistema, mas troquem rapidamente de contextos de usuário sem que nenhum seja forçado a fazer logoff. O Windows Media Center Edition (e o Windows Vista) foi criado com base nessa infra-estrutura para permitir que Media Center Extenders, na verdade, um terminal cliente fino com tecnologia e codecs de processamento de áudio/vídeo, façam logon e processem a experiência do Media Center remotamente em uma televisão, por meio de uma conexão com ou sem fio. No Windows XP, os dois cenários geralmente não são comerciais, já que ambos requerem um sistema que não seja associado a um domínio e no qual a Troca Rápida de Usuário esteja habilitada. Tenha em mente que ambos estão disponíveis nas edições de produtos Windows Vista para empresas, mas, como os cenários de uso realmente não são comuns nesse caso, não entrei em muitos detalhes aqui.

/span faz a correspondência da largura e da altura da área de trabalho remota com a área de trabalho virtual local, por meio da distribuição entre vários monitores, se necessário. Observe que todos os monitores devem ter a mesma altura e estar alinhados lado a lado.
/edit abre o arquivo de conexão .rdp especificado para edição. Os arquivos RDP são usados com a finalidade de armazenar informações de conexão para um sistema remoto específico.
/migrate move os arquivos de conexão antigos, criados com o Gerenciador de Conexões de Cliente, para novos arquivos de conexão .rdp.
Muitos aprimoramentos do cliente MSTSC também estão disponíveis ao usar o controle ActiveX® dos Serviços de Terminal e o TSMMC.msc, descrito a seguir, para se conectar a vários sistemas a partir do mesmo console.

Nova funcionalidade no Windows Server 2008
Além de todas as funcionalidades e alterações já mencionadas para o Windows Vista, o Windows Server 2008 inclui suas próprias funções da Área de Trabalho Remota: Acesso à Web de Serviços de Terminal e Terminal Services Easy Print.
O Acesso à Web de Serviços de Terminal permite usar um navegador da Web para exibir uma lista de programas, habilitados no servidor remoto como RemoteApps, e iniciá-los facilmente com um único clique por meio do controle ActiveX da Área de Trabalho Remota. De certa forma, você pode pensar nisso como uma experiência semelhante à do SoftGrid Application Virtualization, que mencionei na coluna do mês passado sobre o Microsoft Desktop Optimization Pack, em que um usuário remoto inicia facilmente um aplicativo sem precisar de qualquer software instalado localmente. Será interessante observar os próximos anos para comparar os cenários de uso das tecnologias do SoftGrid e dos Serviços de Terminal.
O Terminal Services Easy Print permite que todas as tarefas de impressora que ocorrem no sistema (host) remoto sejam redirecionadas para o sistema (cliente) local. Você deve estar pensando que o redirecionamento de impressora já faz isso, mas não é verdade. O Easy Print funciona sem exigir nenhum driver de impressora adicional no sistema host nem qualquer interatividade de usuário para instalar o dispositivo. Se houver uma impressora local, ela funcionará no sistema remoto da mesma forma que funciona localmente. Para que o Easy Print funcione, o sistema remoto deve estar executando o Windows Server 2008, e os sistemas cliente e servidor devem estar executando o cliente de Serviços de Terminal 6.1 e ter o Microsoft .NET Framework 3.0 SP1 instalado. Os dois estão programados para serem distribuídos perto do lançamento do Windows Server 2008.

Dicas para usar a Área de Trabalho Remota
Conforme mencionei antes, eu uso a Área de Trabalho Remota todos os dias, na verdade, para ser mais exato, o MMC (Console de Gerenciamento Microsoft). Ao adicionar sistemas remotos como nós, você pode alternar entre vários sistemas, com facilidade e rapidez, usando a mesma interface de usuário. A Figura 5 mostra como a experiência do MMC se parece. O snap-in do MMC faz parte do Pacote de Ferramentas Administrativas do Windows Server 2003, cuja versão mais recente está disponível em go.microsoft.com/fwlink/?LinkId=91685.
Figura 5 Página do MMC
Figura 5 Página do MMC
Outra dica interessante que descobri por acaso é sobre recortar e colar. Recortar e colar entre cliente e servidor foi uma novidade do Windows XP. Para que isso funcione, o cliente e o servidor devem estar executando o Windows XP, e a área de transferência deve ser redirecionada (consulte a Figura 6). Os clientes do Windows Vista também oferecem suporte ao recurso de recortar e colar quando o redirecionamento da área de transferência está habilitado para a conexão.
Figura 6 Configurações de recursos locais
Figura 6 Configurações de recursos locais
Também é importante observar que os atalhos de teclado que podem ser necessários, como Ctrl+Alt+Delete, não são transmitidos pela conexão com o sistema remoto, mas sempre funcionam no sistema local. Para enviar Ctrl+Alt+Delete ao sistema remoto, pressione Ctrl+Alt+End no cliente.
Finalmente, gostaria de recomendar que você visite regularmente o blog da equipe dos Serviços de Terminal do Windows em blogs.msdn.com/ts. Eu visito.
Pessoalmente, acho que a Área de Trabalho Remota e os Serviços de Terminal facilitam tanto a minha vida que não sei mais o que faria sem eles. Espero que este artigo tenha fornecido algum esclarecimento sobre a nova funcionalidade do cliente RDP 6.0, além do Windows Vista e do Windows Server 2008.

Quero agradecer a Nelly Porter, gerente geral sênior de programa da equipe de Serviços de Terminal, por me ajudar na pesquisa para esta coluna.

Wes Miller é gerente de desenvolvimento da Pluck (www.pluck.com) em Austin, Texas. Anteriormente, trabalhou na Winternals Software, em Austin, e na Microsoft, como gerente de programas e gerente de produtos do Windows. Entre em contato com ele pelo email technet@getwired.com.


 Anota&#231;&#245;es de campo: Entrevistas em mensagem instant&#226;nea
Anotações de campo
Entrevistas em mensagem instantânea
Nathan G. Jensen

Recentemente, minha empresa publicou um anúncio online para a vaga de engenheiro sênior de software (cargo de trabalho à distância) e, imediatamente, apareceu uma avalanche de candidatos do mundo inteiro. Como desenvolvedor-chefe, minha tarefa era realizar entrevistas técnicas para esse imenso grupo de candidatos. Olhei para a enorme e cansativa lista e comecei a verificar os pomposos currículos, um a um. Sabia, por experiência própria, que a maioria dos candidatos não era qualificada, o que torna as entrevistas tão essenciais.
Diante da perspectiva de entrevistar cada uma das pessoas dessa longa lista por telefone, pensei: "Isso vai levar um mês!". Então, tive uma idéia. Foi uma epifania, uma visão, uma solução que caiu do céu naquele maravilhoso departamento de TI: fazer as entrevistas por mensagem instantânea! Era brilhante! E funcionava.
Comecei enviando uma mensagem de email em massa para todos os candidatos via Cco, explicando que seria necessária uma detalhada entrevista técnica e que o meio de comunicação seria o Windows Live™ Messenger, e não o telefone. O email reduziu os candidatos pela metade, provavelmente porque sabiam que não poderiam trapacear em uma entrevista técnica. Quanto ao resto, vi que um bate-papo por mensagem instantânea era viável porque queria apenas respostas diretas para questões técnicas, bate e volta. Nesse estágio do processo de entrevista, habilidades com software e oratória não importavam muito.
Figura Tinha várias janelas de mensagem instantânea abertas, disparando questões técnicas em todas, como no jogo Whac-a-Mole.
Figura Tinha várias janelas de mensagem instantânea abertas, disparando questões técnicas em todas, como no jogo Whac-a-Mole.
Minha primeira observação foi que esse tipo de entrevista de alta tecnologia economizaria tempo e dinheiro. Nenhuma conta telefônica. E, conforme os candidatos começaram a aparecer para uma entrevista, percebi que poderia atender vários simultaneamente e com eficiência. Foi até bem interessante. Tinha várias janelas de mensagem instantânea abertas, disparando questões técnicas em todas, como no jogo Whac-a-Mole. E, como já havia digitado as perguntas, foi mais um exercício de copiar e colar.
Cuidadosamente, pesquisei minhas perguntas na Web para reduzir o número de boas respostas tiradas da Internet. Se alguém publicasse uma resposta que parecesse vir de um artigo refinado ou de uma documentação oficial, ficaria óbvio. Além disso, o Windows Live Messenger podia controlar o carimbo de data/hora de cada resposta, o que permitiria que eu retornasse mais tarde para determinar os candidatos que demoraram mais para responder.
Outro momento de revelação ocorreu quando, no meio desses bate-papos instantâneos lado a lado, meu telefone tocou e vi que podia continuar com as entrevistas e falar ao telefone ao mesmo tempo. Era o ápice da eficiência em multitarefa!
E exatamente quando pensei que a situação não podia ficar melhor, descobri outra vantagem. O que mais me irrita em entrevistas técnicas baseadas em telefone é quando faço uma rápida pergunta e espero uma resposta igualmente rápida, mas, em vez disso, ouço uma dissertação de cinco minutos. Com a mensagem instantânea, eliminei esse risco porque as pessoas tendem a ser mais concisas nas respostas.
No final da entrevista, salvei os logs de bate-papo para ter um registro que pudesse revisar e analisar mais tarde. Além disso, pude enviá-los ao meu chefe para uma comparação objetiva. No fim, o processo inteiro levou apenas algumas horas, em vez de uma semana, como aconteceria se tivesse de marcar hora e entrevistar 25 candidatos por telefone.
Não podia ficar mais satisfeito com minha descoberta. Contratamos a pessoa que forneceu rapidamente as respostas corretas e se saiu bem na entrevista de software com meu chefe por telefone. Foi rápido, eficiente, produtivo e nos trouxe o melhor candidato para o cargo, poucos dias após a publicação.

Nathan G. Jensen é desenvolvedor-chefe da Web e escritor freelancer, e mora em Salt Lake City. Para entrar em contato com ele, visite builderdash.com.


 Segredos do Windows: O Windows Explorer n&#227;o faz texto
Segredos do Windows
O Windows Explorer não faz texto
Raymond Chen

Era uma vez o PowerToy Send To X. Ele permitia fazer coisas interessantes como selecionar diversos arquivos, clicar com o botão direito do mouse e selecionar Enviar para Área de Transferência como Nomes. Conforme esperado, isso copiava os nomes dos arquivos selecionados para a área de transferência.
Sem dúvida, era um PowerToy útil, mas por que ele foi criado em primeiro lugar? Por que não é possível simplesmente copiar os arquivos do Windows® Explorer e colá-los como texto para obter seus nomes? Melhor ainda, por que não é possível arrastar os arquivos do Windows Explorer e soltá-los no Bloco de Notas para obter seus nomes?
Nós tentamos, mas não funcionou.
A transferência de dados, quer por meio da área de transferência, quer pela ação de arrastar e soltar, é intermediada por objetos de dados OLE representados pela interface IDataObject. Um objeto de dados oferece vários formatos. Alguns formatos da área de transferência, incluindo texto e bitmaps, existem desde o início do Windows. Outros foram adicionados com o tempo. Embora os recursos de arrastar e soltar tenham surgido com o Windows, eles assumiram a forma de um HDROP. Você poderia passar isso para funções como DragQueryFile, por exemplo, a fim de extrair os nomes dos arquivos. Quando se copia algo do Windows Explorer para a área de transferência, o objeto de dados resultante oferece, entre outras coisas, o HDROP supramencionado, os conteúdos dos arquivos e um descritor de grupo de arquivos. Mas se existe um formato que não é oferecido pelo objeto de dados é o de texto.
Quando um destino da ação de soltar (um local em que é possível soltar os objetos) é informado de que um objeto de dados está sendo arrastado para ele ou será solto nele, ele pergunta a esse objeto: "O que é que você tem para mim?". O objeto de dados responde listando todos os formatos aos quais oferece suporte, em ordem de preferência decrescente. Em outras palavras, o primeiro formato retornado pelo objetos de dados é aquele que melhor o descreve. Em seguida, vem o segundo melhor formato, e assim por diante, até chegar ao último, que é apenas uma sombra do objeto original. Por exemplo, o objeto de dados que representa alguns objetos arrastados de uma janela do Windows Explorer provavelmente ofereceria uma lista de identificação de shell primeiro, já que é uma representação quase perfeita do conteúdo de uma janela do Windows Explorer. Em seguida, na lista, poderia haver um descritor de grupo de arquivos, seguido por seu conteúdo, e um HDROP.
Em 1998, a equipe de shell tentou adicionar texto sem formatação à lista de formatos oferecidos, colocando-o no fim da lista. Isso dizia basicamente: "se você está mesmo desesperado, pelo menos, pode obter algum texto de mim (ou seja, a lista de arquivos)". Infelizmente, o que acontecia era que um grande número de programas se distraía com o formato de texto chamativo e dizia: "Hum, gosto de texto". Esses programas iam direto ao formato de texto que não continha nada além de uma lista de arquivos. Conseqüentemente, quando se arrastava um arquivo do Windows Explorer e o soltava em um documento, o programa inseria apenas o nome do arquivo no documento, em vez do arquivo em si.
Opa!
Graças aos comentários de compatibilidade de aplicativos extremamente negativos, essa alteração foi revertida. Agora, quando se arrasta e solta ou cola arquivos que são copiados do Windows Explorer, o objeto de dados do shell não oferece os nomes dos arquivos como texto.
Entretanto, o Windows Vista® corrige esse velho erro fornecendo uma maneira de copiar o caminho como texto: manter a tecla Shift pressionada e clicar com o botão direito do mouse para obter o menu de contexto estendido. Essa ação apresentará a nova opção Copiar como Caminho. Nada de PowerToy.

Raymond Chen, The Old New Thing (O novo velho), e o livro homônimo (Addison-Wesley, 2007) tratam da história do Windows e da programação Win32. Ele deixa o trabalho de operacionalização de mecanismos para os outros.